クロスオリジン iframe 通信で許可されるドメインを制限する

  • リリースバージョン: Australia
  • 更新日 2026年03月12日
  • 所要時間:2分
  • システムプロパティを使用して、iframe 間のクロスオリジン通信を有効にします。

    glide.ui.concourse.onmessage_enforce_same_origin プロパティを使用して、信頼できないドメインからのクロスオリジン通信を防止します。推奨値の true に設定されていない場合、クロスオリジンメッセージングの検証は実行されません。true に設定すると、glide.ui.concourse.onmessage_enforce_same_origin_whitelistシステムプロパティにリストされているドメインが UI でメッセージを伝搬できます。glide.ui.concourse.onmessage_enforce_same_origin_whitelistを使用して、許可するドメインを制御します。

    glide.ui.concourse.onmessage_enforce_same_origin プロパティがシステムプロパティ [sys_properties] テーブルに存在し、true に設定されていることを確認します。

    詳細情報

    属性 説明
    構成名 glide.ui.concourse.onmessage_enforce_same_origin
    構成タイプ システムプロパティ (/sys_properties_list.do)
    データタイプ ブーリアン
    推奨値 true
    デフォルト値 true
    フォールバック値 false
    カテゴリ アクセス制御
    セキュリティリスク
    • 重大度スコア:4.2
    • CVSS スコア:中
    • セキュリティリスクの詳細:Web ページのイベントハンドラーが適切なオリジン検証を実行しない場合、任意のオリジンの別の Web ページまたはスクリプトがそれと通信できます。これらのページまたはスクリプトは、イベントハンドラーによって実行される機能を開始することもできます。このプロパティを使用すると、信頼できない可能性がある外部ドメインが ServiceNow インスタンスにメッセージを送信できるため、データの盗難や UI 操作などのクロスオリジン攻撃のリスクが高まります。
    機能への影響 意図したドメインを glide.ui.concourse.onmessage_enforce_same_origin_whitelist システムプロパティの包含リストに追加しないと、そのドメインからのクロスオリジンメッセージは許可されません。
    依存関係と前提条件 なし