• 概要
• resourceUrlBlacklist(blacklist)
• resourceUrlWhitelist(whitelist)

概要

$sceDelegateProviderは、開発者が$sceDelegateサービスの設定を出来るようにしてくれるプロバイダーです。 これは、ホワイトリストとブラックリストに対してのget/setを許可し、 Angularテンプレートが安全に使用できる供給源となるURLを確保するために使用されます。 $sceDelegateProvider.resourceUrlWhitelistと、 $sceDelegateProvider.resourceUrlBlacklistを参照してください。

Angular内での、このサービス全容について詳しく知るために、 厳格なコンテキストのエスケープ(SCE)のページを読むことをお勧めします。

具体的な事例の紹介

• アプリケーションのホストのURLが、http://myapp.example.com/だとします。
• ただし、テンプレートの幾つかが別のドメインの、http://srv01.assets.example.com/、http://srv02.assets.example.com/等にあるとします。
• また、リダレクトでhttp://myapp.example.com/clickThru?....といったURLを開く必要があるとします。

このような事例では、下記のようにしてセキュアな構成を行います。

angular.module('myApp', []).config(function($sceDelegateProvider) {
  $sceDelegateProvider.resourceUrlWhitelist([
    // 同じドメインからの読み込みを許可
    'self',
    // assetsのドメインからの読み込みを許可します。
    // * と ** の違いをしっかりと確認しておいてください。
    'http://srv*.assets.example.com/**']);

  // リダイレクト用のページをリソース対象とした場合はブロックするために、
  // ホワイトリストに対してブラックリストを上書きします。
  $sceDelegateProvider.resourceUrlBlacklist([
    'http://myapp.example.com/clickThru**']);
  });

resourceUrlBlacklist(blacklist)

信頼するリソースURLためのブラックリストの設定・取得を行います。

resourceUrlWhitelist(whitelist)

信頼するリソースURLためのホワイトリストの設定・取得を行います。

 Back to top