الفرق بين المراجعتين لصفحة: «Cordova/whitelist»
< Cordova
لا ملخص تعديل |
تحديث |
||
| (3 مراجعات متوسطة بواسطة مستخدم واحد آخر غير معروضة) | |||
| سطر 1: | سطر 1: | ||
<noinclude>{{DISPLAYTITLE:اللوائح البيضاء في | <noinclude>{{DISPLAYTITLE:اللوائح البيضاء في كوردوفا}}</noinclude> | ||
[[تصنيف: Cordova]] | [[تصنيف: Cordova]] | ||
لوائح النطاقات البيضاء (Domain whitelisting) هي نموذج أمني يضبط إمكانية الوصول إلى النطاقات الخارجية التي لا يتحكم فيها تطبيقك. توفر كوردوفا سياسة أمنية قابلة للتعديل لتحديد المواقع الخارجية التي يمكن الوصول إليها.افتراضيًّا، يتم إعداد التطبيقات الجديدة للسماح بالوصول إلى أي موقع. قبل نقل التطبيق إلى مرحلة الإنتاج، عليك إنشاء لائحة بيضاء، وتحديد النطاقات (domains) والنطاقات الفرعية (subdomains) المسموح بالوصول إليها. | |||
لوائح النطاقات البيضاء (Domain whitelisting) هي نموذج أمني يضبط إمكانية الوصول إلى النطاقات الخارجية التي لا يتحكم فيها تطبيقك. توفر | |||
__TOC__ | |||
بالنسبة للأندرويد (اعتبارًا من الإصدار 4.0)، | بالنسبة للأندرويد (اعتبارًا من الإصدار 4.0)، فإنَّ [[Cordova/security|السياسة الأمنية]] لكوردوفا قابلة للتوسيع عبر استخدام [[Cordova/plugins|الإضافات]]. يجب أن يستخدم تطبيقك الإضافة "[[Cordova/cordova plugin whitelist|اللائحة البيضاء]]"، لأنَّها أكثر أمانًا وقابليةً للتخصيص مقارنة بالإصدارات السابقة من كوردوفا. على الرغم من أنَّه من الممكن تنفيذ إضافة خاصة باللوائح البيضاء بنفسك، فلا يُنصح بذلك ما لم يكن تطبيقك بحاجة إلى سياسة أمان محددة للغاية. راجع توثيق [[Cordova/cordova plugin whitelist|إضافة اللائحة البيضاء]] لمزيد من التفاصيل حول كيفية الاستخدام والإعداد. | ||
بالنسبة للمنصات الأخرى، تلتزم كوردوفا بمواصفات [http://www.w3.org/TR/widgets-access/ W3C | بالنسبة للمنصات الأخرى، تلتزم كوردوفا بمواصفات [http://www.w3.org/TR/widgets-access/ W3C للوصول إلى الأدوات (widget)]، التي تعتمد على العنصر <code><access></code> في الملف <code>config.xml</code> الخاص بالتطبيق لتمكين الوصول إلى نطاقات محددة. بالنسبة للمشروعات التي تعتمد على [[Cordova/cli|واجهة سطر الأوامر (CLI)]]، فهذا الملف موجود في المجلد الأعلى للمشروع. أما بالنسبة لمسارات التطوير الخاصة بمنصات معينة، فقد أدرجناها في الأقسام أدناه. | ||
توضح الأمثلة التالية كيفية صياغة اللوائح البيضاء في العنصر <code><access></code>: | توضح الأمثلة التالية كيفية صياغة اللوائح البيضاء في العنصر <code><access></code>: | ||
* الوصول إلى [http://google.com/ google.com]: | * الوصول إلى [http://google.com/ google.com]: | ||
<syntaxhighlight lang="xml"><access origin="http://google.com" | <syntaxhighlight lang="xml"><access origin="http://google.com" /></syntaxhighlight> | ||
* الوصول إلى النطاق الآمن [https://google.com/ google.com] ( | * الوصول إلى النطاق الآمن [https://google.com/ google.com] (<nowiki>https://</nowiki>): | ||
<syntaxhighlight lang="xml"><access origin="https://google.com" | <syntaxhighlight lang="xml"><access origin="https://google.com" /></syntaxhighlight> | ||
* الوصول إلى النطاق الفرعي [http://maps.google.com/ maps.google.com]: | * الوصول إلى النطاق الفرعي [http://maps.google.com/ maps.google.com]: | ||
<syntaxhighlight lang="xml"><access origin="http://maps.google.com" | <syntaxhighlight lang="xml"><access origin="http://maps.google.com" /></syntaxhighlight> | ||
* الوصول إلى جميع النطاقات الفرعية في [http://google.com/ google.com] | * الوصول إلى جميع النطاقات الفرعية في [http://google.com/ google.com] مثل [http://mail.google.com/ mail.google.com] و [http://docs.google.com/ docs.google.com]: | ||
<syntaxhighlight lang="xml"><access origin="http://*.google.com" | <syntaxhighlight lang="xml"><access origin="http://*.google.com" /></syntaxhighlight> | ||
* الوصول إلى جميع | * الوصول إلى جميع النطاقات مثل: [http://google.com/ google.com] و [https://wiki.hsoub.com/ https://wiki.hsoub.com]: | ||
<syntaxhighlight lang="xml"><access origin="*" | <syntaxhighlight lang="xml"><access origin="*" /></syntaxhighlight>هذه هي القيمة الافتراضية لمشاريع [[Cordova/cli|واجهة سطر الأوامر (CLI)]] المُنشأة حديثًا. | ||
تذكر أنّّ بعض المواقع قد تعيد التوجيه تلقائيًا من صفحتها الرئيسية إلى عنوان مختلف، | تذكر أنّّ بعض المواقع قد تعيد التوجيه تلقائيًا من صفحتها الرئيسية إلى عنوان مختلف، مثلًا لاستخدام البروتوكول https، أو لإعادة التوجيه إلى نطاق خاص ببلد معين. على سبيل المثال، سيعيد النطاق <code>[http://www.google.com/ http://www.google.com]</code> التوجيه نحو <code>[https://www.google.com/ https://www.google.com]</code> لأجل استخدام البروتوكول SSL/TLS، ومن ثم قد يعيد التوجيه إلى نطاق جغرافي مثل <code>[https://www.google.co.uk/ https://www.google.co.uk]</code>. قد تتطلب مثل هذه السيناريوهات مُدخلات إضافية أو مُعدلة في اللائحة البيضاء تتجاوز متطلباتك الأولية. يرجى أخذ هذا بالحسبان إبّان بناء قائمتك البيضاء. | ||
لاحظ | لاحظ أنَّ القائمة البيضاء تنطبق فقط على العارض <code>[[Cordova/webviews|webview]]</code> الرئيسي في كوردوفا، ولا تنطبق على العرض العارض في <code>InAppBrowser</code> أو الروابط المفتوحة في متصفح الويب الخاص بالنظام. | ||
==اللوائح البيضاء في أندرويد== | ==اللوائح البيضاء في أندرويد== | ||
كما ورد في الأعلى، راجع توثيق [[Cordova/cordova plugin whitelist|إضافة اللائحة البيضاء]] لمزيد من التفاصيل. | |||
==اللوائح البيضاء في iOS== | ==اللوائح البيضاء في iOS== | ||
لا يتطلب الإصدار 4.0 من | لا يتطلب الإصدار 4.0 من Cordova-ios فما فوق تثبيت [[Cordova/cordova plugin whitelist|إضافة اللائحة البيضاء]]، لكن تنطبق مع ذلك تفاصيل إعدادها على منصة iOS. | ||
الوسمان <code><allow-intent></code> و <code><allow-navigation></code> جديدان في الإصدارات cordova-ios 4.x وما بعدها، راجع | الوسمان <code><allow-intent></code> و <code><allow-navigation></code> جديدان في الإصدارات cordova-ios 4.x وما بعدها، لذا راجع توثيق [[Cordova/cordova plugin whitelist|إضافة اللائحة البيضاء]] لمزيد من التفاصيل حول استخدام هذه الوسوم. | ||
ميزة الخصوصية [https://developer.apple.com/library/prerelease/ios/documentation/General/Reference/InfoPlistKeyReference/Articles/CocoaKeys.html#//apple_ref/doc/uid/TP40009251-SW33 Application Transport Security | ميزة الخصوصية [https://developer.apple.com/library/prerelease/ios/documentation/General/Reference/InfoPlistKeyReference/Articles/CocoaKeys.html#//apple_ref/doc/uid/TP40009251-SW33 ATS] (اختصار للعبارة Application Transport Security) جديدة في منصة iOS 9 (Xcode 7). تعمل هذه الميزة الجديدة كلائحة بيضاء لتطبيقك. ستحوّل [[Cordova/cli|واجهة سطر الأوامر]] الخاصة بكوردوفا الوسمين <code><access></code> و <code><allow-navigation></code> تلقائيًا إلى مُوجّهات ATS المناسبة. | ||
يدعم الوسمان <code><access></code> و <code><allow-navigation></code> الخاصيات الثلاثة المذكورة أدناه، والتي لها | يدعم الوسمان <code><access></code> و <code><allow-navigation></code> الخاصيات الثلاثة المذكورة أدناه، والتي لها مقابل في ATS: | ||
*<code>minimum-tls-version</code> | *<code>minimum-tls-version</code>: سلسلة نصية، قيمتها الافتراضية تساوي '<code>TLSv1.2</code>'. | ||
*<code>requires-forward-secrecy</code> | *<code>requires-forward-secrecy</code>: قيمة منطقية، قيمتها الافتراضية تساوي '<code>true</code>'. | ||
*<code>requires-certificate-transparency</code> | *<code>requires-certificate-transparency</code>: قيمة منطقية، قيمتها الافتراضية تساوي "<code>false</code>"، جديدة في iOS 10. إليك المثال التالي الذي يشرح ما سبق: | ||
<syntaxhighlight lang="xml"><access origin='https://cordova.apache.org' minimum-tls-version='TLSv1.1' requires-forward-secrecy='false' requires-certificate-transparency='true' /> | |||
</syntaxhighlight>في منصة iOS 10 والإصدارات الموالية، يدعم الوسم <code><access></code> الخاصيات الثلاثة أدناه عند إقرانها مع المحرف العام <code>*</code>. فهذه الخاصيات لها أيضًا ما يعادلها في ATS: | |||
*<code>allows-arbitrary-loads-for-media</code>: قيمة منطقية، قيمتها الافتراضية تساوي '<code>false</code>'، جديدة في iOS 10. جديدة في cordova-ios@4.5.0، ومُعدّة لأجل استخدام اسم الخاصية المناسبة. الخاصية القديمة <code>allows-arbitrary-loads-in-media</code> صارت الآن مهملة. | |||
*<code>allows-arbitrary-loads-in-web-content</code>: قيمة منطقية، قيمتها الافتراضية تساوي '<code>false</code>'، جديدة في iOS 10. | |||
*<code>allows-local-networking</code>: قيمة منطقية، قيمتها الافتراضية تساوي '<code>false</code>'، جديدة في iOS 10. إليك المثال التالي: | |||
<syntaxhighlight lang="xml"><access origin='*' allows-arbitrary-loads-for-media='true' allows-arbitrary-loads-in-web-content='true' allows-local-networking='true' /> | |||
</syntaxhighlight>ارجع إلى صفحة [https://developer.apple.com/library/prerelease/ios/documentation/General/Reference/InfoPlistKeyReference/Articles/CocoaKeys.html#//apple_ref/doc/uid/TP40009251-SW33 ATS] لمزيد من التفاصيل. | |||
== | == انظر أيضًا == | ||
* [[Cordova/security|إدارة الأمن.]] | |||
* [[Cordova/privacy|إدارة الخصوصية.]] | |||
* [[Cordova/cordova plugin whitelist|إضافة اللوائح البيضاء]] | |||
* | |||
* | |||
==مصادر== | ==مصادر== | ||
*[https://cordova.apache.org/docs/en/latest/guide/appdev/whitelist/index.html قسم اللوائح البيضاء في التوثيق الرسمي لكوردوفا.] | *[https://cordova.apache.org/docs/en/latest/guide/appdev/whitelist/index.html قسم اللوائح البيضاء في التوثيق الرسمي لكوردوفا.] | ||
المراجعة الحالية بتاريخ 09:53، 1 ديسمبر 2020
لوائح النطاقات البيضاء (Domain whitelisting) هي نموذج أمني يضبط إمكانية الوصول إلى النطاقات الخارجية التي لا يتحكم فيها تطبيقك. توفر كوردوفا سياسة أمنية قابلة للتعديل لتحديد المواقع الخارجية التي يمكن الوصول إليها.افتراضيًّا، يتم إعداد التطبيقات الجديدة للسماح بالوصول إلى أي موقع. قبل نقل التطبيق إلى مرحلة الإنتاج، عليك إنشاء لائحة بيضاء، وتحديد النطاقات (domains) والنطاقات الفرعية (subdomains) المسموح بالوصول إليها.
بالنسبة للأندرويد (اعتبارًا من الإصدار 4.0)، فإنَّ السياسة الأمنية لكوردوفا قابلة للتوسيع عبر استخدام الإضافات. يجب أن يستخدم تطبيقك الإضافة "اللائحة البيضاء"، لأنَّها أكثر أمانًا وقابليةً للتخصيص مقارنة بالإصدارات السابقة من كوردوفا. على الرغم من أنَّه من الممكن تنفيذ إضافة خاصة باللوائح البيضاء بنفسك، فلا يُنصح بذلك ما لم يكن تطبيقك بحاجة إلى سياسة أمان محددة للغاية. راجع توثيق إضافة اللائحة البيضاء لمزيد من التفاصيل حول كيفية الاستخدام والإعداد.
بالنسبة للمنصات الأخرى، تلتزم كوردوفا بمواصفات W3C للوصول إلى الأدوات (widget)، التي تعتمد على العنصر <access> في الملف config.xml الخاص بالتطبيق لتمكين الوصول إلى نطاقات محددة. بالنسبة للمشروعات التي تعتمد على واجهة سطر الأوامر (CLI)، فهذا الملف موجود في المجلد الأعلى للمشروع. أما بالنسبة لمسارات التطوير الخاصة بمنصات معينة، فقد أدرجناها في الأقسام أدناه.
توضح الأمثلة التالية كيفية صياغة اللوائح البيضاء في العنصر <access>:
- الوصول إلى google.com:
<access origin="http://google.com" />
- الوصول إلى النطاق الآمن google.com (https://):
<access origin="https://google.com" />
- الوصول إلى النطاق الفرعي maps.google.com:
<access origin="http://maps.google.com" />
- الوصول إلى جميع النطاقات الفرعية في google.com مثل mail.google.com و docs.google.com:
<access origin="http://*.google.com" />
- الوصول إلى جميع النطاقات مثل: google.com و https://wiki.hsoub.com:
<access origin="*" />
هذه هي القيمة الافتراضية لمشاريع واجهة سطر الأوامر (CLI) المُنشأة حديثًا.
تذكر أنّّ بعض المواقع قد تعيد التوجيه تلقائيًا من صفحتها الرئيسية إلى عنوان مختلف، مثلًا لاستخدام البروتوكول https، أو لإعادة التوجيه إلى نطاق خاص ببلد معين. على سبيل المثال، سيعيد النطاق http://www.google.com التوجيه نحو https://www.google.com لأجل استخدام البروتوكول SSL/TLS، ومن ثم قد يعيد التوجيه إلى نطاق جغرافي مثل https://www.google.co.uk. قد تتطلب مثل هذه السيناريوهات مُدخلات إضافية أو مُعدلة في اللائحة البيضاء تتجاوز متطلباتك الأولية. يرجى أخذ هذا بالحسبان إبّان بناء قائمتك البيضاء.
لاحظ أنَّ القائمة البيضاء تنطبق فقط على العارض webview الرئيسي في كوردوفا، ولا تنطبق على العرض العارض في InAppBrowser أو الروابط المفتوحة في متصفح الويب الخاص بالنظام.
اللوائح البيضاء في أندرويد
كما ورد في الأعلى، راجع توثيق إضافة اللائحة البيضاء لمزيد من التفاصيل.
اللوائح البيضاء في iOS
لا يتطلب الإصدار 4.0 من Cordova-ios فما فوق تثبيت إضافة اللائحة البيضاء، لكن تنطبق مع ذلك تفاصيل إعدادها على منصة iOS.
الوسمان <allow-intent> و <allow-navigation> جديدان في الإصدارات cordova-ios 4.x وما بعدها، لذا راجع توثيق إضافة اللائحة البيضاء لمزيد من التفاصيل حول استخدام هذه الوسوم.
ميزة الخصوصية ATS (اختصار للعبارة Application Transport Security) جديدة في منصة iOS 9 (Xcode 7). تعمل هذه الميزة الجديدة كلائحة بيضاء لتطبيقك. ستحوّل واجهة سطر الأوامر الخاصة بكوردوفا الوسمين <access> و <allow-navigation> تلقائيًا إلى مُوجّهات ATS المناسبة.
يدعم الوسمان <access> و <allow-navigation> الخاصيات الثلاثة المذكورة أدناه، والتي لها مقابل في ATS:
minimum-tls-version: سلسلة نصية، قيمتها الافتراضية تساوي 'TLSv1.2'.requires-forward-secrecy: قيمة منطقية، قيمتها الافتراضية تساوي 'true'.requires-certificate-transparency: قيمة منطقية، قيمتها الافتراضية تساوي "false"، جديدة في iOS 10. إليك المثال التالي الذي يشرح ما سبق:
<access origin='https://cordova.apache.org' minimum-tls-version='TLSv1.1' requires-forward-secrecy='false' requires-certificate-transparency='true' />
في منصة iOS 10 والإصدارات الموالية، يدعم الوسم <access> الخاصيات الثلاثة أدناه عند إقرانها مع المحرف العام *. فهذه الخاصيات لها أيضًا ما يعادلها في ATS:
allows-arbitrary-loads-for-media: قيمة منطقية، قيمتها الافتراضية تساوي 'false'، جديدة في iOS 10. جديدة في cordova-ios@4.5.0، ومُعدّة لأجل استخدام اسم الخاصية المناسبة. الخاصية القديمةallows-arbitrary-loads-in-mediaصارت الآن مهملة.allows-arbitrary-loads-in-web-content: قيمة منطقية، قيمتها الافتراضية تساوي 'false'، جديدة في iOS 10.allows-local-networking: قيمة منطقية، قيمتها الافتراضية تساوي 'false'، جديدة في iOS 10. إليك المثال التالي:
<access origin='*' allows-arbitrary-loads-for-media='true' allows-arbitrary-loads-in-web-content='true' allows-local-networking='true' />
ارجع إلى صفحة ATS لمزيد من التفاصيل.