1<!--
  2# license: Licensed to the Apache Software Foundation (ASF) under one
  3#         or more contributor license agreements.  See the NOTICE file
  4#         distributed with this work for additional information
  5#         regarding copyright ownership.  The ASF licenses this file
  6#         to you under the Apache License, Version 2.0 (the
  7#         "License"); you may not use this file except in compliance
  8#         with the License.  You may obtain a copy of the License at
  9#
 10#           http://www.apache.org/licenses/LICENSE-2.0
 11#
 12#         Unless required by applicable law or agreed to in writing,
 13#         software distributed under the License is distributed on an
 14#         "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY
 15#         KIND, either express or implied.  See the License for the
 16#         specific language governing permissions and limitations
 17#         under the License.
 18-->
 19
 20# cordova-plugin-whitelist
 21
 22Este plugin implementa una política de lista blanca para navegar la aplicación webview en Cordova 4.0
 23
 24## Plataformas soportadas Cordova
 25
 26  * Android 4.0 o superior
 27  * iOS 4.0.0 o superior
 28
 29## Lista blanca de navegación
 30
 31Controla que las URLs del WebView se puede navegar a. Se aplica a nivel superior navegaciones solo.
 32
 33Peculiaridades: en Android también se aplica a iframes para esquemas que son de http (s).
 34
 35Por defecto, navegaciones solo a direcciones URL `file://` , son permitidas. Para permitir que otros otras URL, debe agregar `< allow-navegación >` etiquetas en el `archivo config.xml`:
 36
 37    <!-- Allow links to example.com -->
 38    <allow-navigation href="http://example.com/*" />
 39    
 40    <!-- Wildcards are allowed for the protocol, as a prefix
 41         to the host, or as a suffix to the path -->
 42    <allow-navigation href="*://*.example.com/*" />
 43    
 44    <!-- A wildcard can be used to whitelist the entire network,
 45         over HTTP and HTTPS.
 46         *NOT RECOMMENDED* -->
 47    <allow-navigation href="*" />
 48    
 49    <!-- The above is equivalent to these three declarations -->
 50    <allow-navigation href="http://*/*" />
 51    <allow-navigation href="https://*/*" />
 52    <allow-navigation href="data:*" />
 53    
 54
 55## Intención de lista blanca
 56
 57Controla qué URLs de la aplicación se permite hacer el sistema para abrir. De forma predeterminada, se permiten ninguÌ n external URLs.
 58
 59En Android, esto equivale a enviar una intención de tipo BROWSEABLE.
 60
 61Esta lista blanca no se aplica a plugins, sólo los hipervínculos y las llamadas a `window.Open)`.
 62
 63En `config.xml`, agregar etiquetas `< allow-intent >` , como este:
 64
 65    <!-- Allow links to web pages to open in a browser -->
 66    <allow-intent href="http://*/*" />
 67    <allow-intent href="https://*/*" />
 68    
 69    <!-- Allow links to example.com to open in a browser -->
 70    <allow-intent href="http://example.com/*" />
 71    
 72    <!-- Wildcards are allowed for the protocol, as a prefix
 73         to the host, or as a suffix to the path -->
 74    <allow-intent href="*://*.example.com/*" />
 75    
 76    <!-- Allow SMS links to open messaging app -->
 77    <allow-intent href="sms:*" />
 78    
 79    <!-- Allow tel: links to open the dialer -->
 80    <allow-intent href="tel:*" />
 81    
 82    <!-- Allow geo: links to open maps -->
 83    <allow-intent href="geo:*" />
 84    
 85    <!-- Allow all unrecognized URLs to open installed apps
 86         *NOT RECOMMENDED* -->
 87    <allow-intent href="*" />
 88    
 89
 90## Solicitud de red blanca
 91
 92Controles que las peticiones de la red (imágenes, XHRs, etc.) se les permite hacer (a través de ganchos nativa de Córdoba).
 93
 94Nota: Le sugerimos que utilice una política de seguridad de contenido (véase abajo), que es más seguro. Esta lista blanca es sobre todo histórico para webviews que no admiten la CSP.
 95
 96En `config.xml`, agregue etiquetas de `< access >` , como este:
 97
 98    <!-- Allow images, xhrs, etc. to google.com -->
 99    <access origin="http://google.com" />
100    <access origin="https://google.com" />
101    
102    <!-- Access to the subdomain maps.google.com -->
103    <access origin="http://maps.google.com" />
104    
105    <!-- Access to all the subdomains on google.com -->
106    <access origin="http://*.google.com" />
107    
108    <!-- Enable requests to content: URLs -->
109    <access origin="content:///*" />
110    
111    <!-- Don't block any requests -->
112    <access origin="*" />
113    
114
115Sin las etiquetas `< access >` , se admiten sólo las solicitudes a direcciones URL `file://` . Sin embargo, la aplicación por defecto de Cordova incluye `< access origin = "*" >` por defecto.
116
117Quirk: Android también permite las solicitudes de https://ssl.gstatic.com/accessibility/javascript/android/ por defecto, puesto que es necesario para TalkBack funcionar correctamente.
118
119### Política de seguridad de contenido
120
121Controles que las peticiones de la red (imágenes, XHRs, etc.) se les permite hacer (vía webview directamente).
122
123En iOS y Android, la red solicitud lista blanca (véase arriba) no es capaz de filtrar todos los tipos de solicitudes (por ejemplo, `< video >` y WebSockets no estén bloqueadas). Así, además de la lista blanca, usted debe utilizar una etiqueta `< meta >` de [Contenido la política de seguridad](http://content-security-policy.com/) en todas las páginas.
124
125En Android, soporte para CSP en el sistema webview comienza con KitKat (pero está disponible en todas las versiones con WebView de paso de peatones).
126
127Aquí están algunas declaraciones de CSP de ejemplo para las páginas `.html` :
128
129    <!-- Good default declaration:
130        * gap: is required only on iOS (when using UIWebView) and is needed for JS->native communication
131        * https://ssl.gstatic.com is required only on Android and is needed for TalkBack to function properly
132        * Disables use of eval() and inline scripts in order to mitigate risk of XSS vulnerabilities. To change this:
133            * Enable inline JS: add 'unsafe-inline' to default-src
134            * Enable eval(): add 'unsafe-eval' to default-src
135    -->
136    <meta http-equiv="Content-Security-Policy" content="default-src 'self' data: gap: https://ssl.gstatic.com; style-src 'self' 'unsafe-inline'; media-src *">
137    
138    <!-- Allow requests to foo.com -->
139    <meta http-equiv="Content-Security-Policy" content="default-src 'self' foo.com">
140    
141    <!-- Enable all requests, inline styles, and eval() -->
142    <meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'">
143    
144    <!-- Allow XHRs via https only -->
145    <meta http-equiv="Content-Security-Policy" content="default-src 'self' https:">
146    
147    <!-- Allow iframe to https://cordova.apache.org/ -->
148    <meta http-equiv="Content-Security-Policy" content="default-src 'self'; frame-src 'self' https://cordova.apache.org">