คำเตือน: ตั้งแต่เวอร์ชัน 57 เป็นต้นไป Chrome จะไม่อนุญาตให้มีเนื้อหาเว็บภายนอก (รวมถึงเฟรมและสคริปต์ที่ฝัง) ภายในหน้าแซนด์บ็อกซ์อีกต่อไป โปรดใช้ webview แทน
กำหนดคอลเล็กชันของหน้าแอปหรือส่วนขยายที่จะแสดงในต้นทางที่ไม่ซ้ำกันซึ่งมีแซนด์บ็อกซ์ และเลือกนโยบายรักษาความปลอดภัยเนื้อหาที่จะใช้กับหน้าเหล่านี้ (ไม่บังคับ) การอยู่ในแซนด์บ็อกซ์มีนัยยะ 2 ประการดังนี้
- หน้าที่ทำแซนด์บ็อกซ์จะไม่มีสิทธิ์เข้าถึง API ของส่วนขยายหรือแอป หรือเข้าถึงหน้าที่ไม่ใช่แซนด์บ็อกซ์โดยตรง (อาจสื่อสารกับหน้าเว็บเหล่านั้นผ่าน
postMessage()) หน้าที่ทำแซนด์บ็อกซ์จะไม่อยู่ภายใต้นโยบายรักษาความปลอดภัยเนื้อหา (CSP) ที่แอปหรือส่วนขยายอื่นๆ ใช้อยู่ (มีค่า CSP แยกต่างหาก) ซึ่งหมายความว่าจะใช้สคริปต์ในหน้าและ
evalได้ เป็นต้นตัวอย่างเช่น วิธีระบุว่าจะแสดงหน้าส่วนขยาย 2 หน้าในแซนด์บ็อกซ์ที่มี CSP ที่กำหนดเอง ดังนี้
{ ... "sandbox": { "pages": [ "page1.html", "directory/page2.html" ] // content_security_policy is optional. "content_security_policy": "sandbox allow-scripts; script-src 'self'" ], ... }หากไม่ได้ระบุไว้ ค่าเริ่มต้น
content_security_policyจะเป็นsandbox allow-scripts allow-forms allow-popups allow-modals; script-src 'self' 'unsafe-inline' 'unsafe-eval'; child-src 'self';คุณระบุค่า CSP เพื่อจำกัดแซนด์บ็อกซ์เพิ่มเติมได้ แต่แซนด์บ็อกซ์ต้องมีคำสั่งsandboxและอาจไม่มีโทเค็นallow-same-origin(ดูข้อกำหนดของ HTML5 สำหรับโทเค็นแซนด์บ็อกซ์ที่เป็นไปได้) นอกจากนี้ CSP ที่คุณระบุอาจไม่อนุญาตให้โหลดเนื้อหาเว็บภายนอกภายในหน้าที่ทำแซนด์บ็อกซ์
โปรดทราบว่าคุณต้องแสดงเฉพาะหน้าเว็บที่คุณคาดว่าจะโหลดในหน้าต่างหรือเฟรมเท่านั้น ทรัพยากรที่ใช้โดยหน้าเว็บแซนด์บ็อกซ์ (เช่น สไตล์ชีตหรือไฟล์ต้นฉบับ JavaScript) ไม่จำเป็นต้องปรากฏในรายการ sandboxed_page แต่จะใช้แซนด์บ็อกซ์ของหน้าที่ฝังทรัพยากรเหล่านั้น
"การใช้ eval ในส่วนขยาย Chrome ปลอดภัย" ลงรายละเอียดเพิ่มเติมเกี่ยวกับการใช้เวิร์กโฟลว์แซนด์บ็อกซ์ซึ่งช่วยให้ใช้ไลบรารีที่อาจมีปัญหาในการดำเนินการภายใต้นโยบายรักษาความปลอดภัยเนื้อหาเริ่มต้นของส่วนขยาย
ระบุหน้าที่แซนด์บ็อกซ์ไว้เฉพาะในกรณีที่ใช้ manifest_version เวอร์ชัน 2 ขึ้นไป