1<!--
  2# license: Licensed to the Apache Software Foundation (ASF) under one
  3#         or more contributor license agreements.  See the NOTICE file
  4#         distributed with this work for additional information
  5#         regarding copyright ownership.  The ASF licenses this file
  6#         to you under the Apache License, Version 2.0 (the
  7#         "License"); you may not use this file except in compliance
  8#         with the License.  You may obtain a copy of the License at
  9#
 10#           http://www.apache.org/licenses/LICENSE-2.0
 11#
 12#         Unless required by applicable law or agreed to in writing,
 13#         software distributed under the License is distributed on an
 14#         "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY
 15#         KIND, either express or implied.  See the License for the
 16#         specific language governing permissions and limitations
 17#         under the License.
 18-->
 19
 20# cordova-plugin-whitelist
 21
 22Dieses Plugin implementiert eine Whitelist-Politik für die Navigation in der Anwendung Webview Cordova 4.0
 23
 24## Cordova unterstützte Plattformen
 25
 26  * Android 4.0.0 oder höher
 27  * iOS 4.0.0 oder höher
 28
 29## Navigation-Whitelist
 30
 31Steuert, welche URLs die WebView selbst zu navigiert werden kann. Bezieht sich auf der obersten Ebene Navigationen nur.
 32
 33Macken: auf Android es gilt auch für Iframes für nicht-http(s) Systeme.
 34
 35In der Standardeinstellung Navigationen nur auf `file://` URLs, sind zulässig. Wenn andere andere URLs zulassen möchten, müssen Sie Ihre `"config.xml"` `<allow-navigation>` Markierungen hinzufügen:
 36
 37    <!-- Allow links to example.com -->
 38    <allow-navigation href="http://example.com/*" />
 39    
 40    <!-- Wildcards are allowed for the protocol, as a prefix
 41         to the host, or as a suffix to the path -->
 42    <allow-navigation href="*://*.example.com/*" />
 43    
 44    <!-- A wildcard can be used to whitelist the entire network,
 45         over HTTP and HTTPS.
 46         *NOT RECOMMENDED* -->
 47    <allow-navigation href="*" />
 48    
 49    <!-- The above is equivalent to these three declarations -->
 50    <allow-navigation href="http://*/*" />
 51    <allow-navigation href="https://*/*" />
 52    <allow-navigation href="data:*" />
 53    
 54
 55## Vorsatz-Whitelist
 56
 57Steuert, welche URLs die app zulässig ist, um das System zu öffnen Fragen. Standardmäßig dürfen keine externe URLs.
 58
 59Das entspricht auf Android eine Absicht des Typs BROWSEABLE senden.
 60
 61Diese Whitelist gilt nicht für Plugins, nur Hyperlinks und Aufrufe von `window.open()`.
 62
 63Fügen Sie in `"config.xml"` `<allow-intent>` Tags hinzu, wie folgt:
 64
 65    <!-- Allow links to web pages to open in a browser -->
 66    <allow-intent href="http://*/*" />
 67    <allow-intent href="https://*/*" />
 68    
 69    <!-- Allow links to example.com to open in a browser -->
 70    <allow-intent href="http://example.com/*" />
 71    
 72    <!-- Wildcards are allowed for the protocol, as a prefix
 73         to the host, or as a suffix to the path -->
 74    <allow-intent href="*://*.example.com/*" />
 75    
 76    <!-- Allow SMS links to open messaging app -->
 77    <allow-intent href="sms:*" />
 78    
 79    <!-- Allow tel: links to open the dialer -->
 80    <allow-intent href="tel:*" />
 81    
 82    <!-- Allow geo: links to open maps -->
 83    <allow-intent href="geo:*" />
 84    
 85    <!-- Allow all unrecognized URLs to open installed apps
 86         *NOT RECOMMENDED* -->
 87    <allow-intent href="*" />
 88    
 89
 90## Netzwerk-Anforderung-Whitelist
 91
 92Steuert, welche-Anforderungen Netzwerk (Bilder, XHRs, etc.) dürfen (über Cordova native Haken) erfolgen.
 93
 94Hinweis: Wir empfehlen Ihnen eine Content Security Policy (siehe unten), das ist sicherer. Diese Whitelist ist vor allem historisch für Webansichten für die CSP nicht unterstützen.
 95
 96Fügen Sie in `"config.xml"` `<access>` Tags hinzu, wie folgt:
 97
 98    <!-- Allow images, xhrs, etc. to google.com -->
 99    <access origin="http://google.com" />
100    <access origin="https://google.com" />
101    
102    <!-- Access to the subdomain maps.google.com -->
103    <access origin="http://maps.google.com" />
104    
105    <!-- Access to all the subdomains on google.com -->
106    <access origin="http://*.google.com" />
107    
108    <!-- Enable requests to content: URLs -->
109    <access origin="content:///*" />
110    
111    <!-- Don't block any requests -->
112    <access origin="*" />
113    
114
115Ohne `<access>` -Tags dürfen nur Anforderungen an `file://` URLs. Enthält jedoch die Standardanwendung Cordova `<access origin="*">` standardmäßig.
116
117Eigenart: Android kann auch Anforderungen an https://ssl.gstatic.com/accessibility/javascript/android/ standardmäßig, da dies für TalkBack ordnungsgemäß erforderlich ist.
118
119### Content-Security-Policy
120
121Steuert, welche-Anforderungen Netzwerk (Bilder, XHRs, etc.) dürfen (über Webview direkt) erfolgen.
122
123Auf Android und iOS ist die Netzwerk Anfrage Whitelist (s.o.) nicht in der Lage, alle Arten von Anfragen (z.B. `< video >` & WebSockets nicht blockiert) filtern. Also, sollten Sie neben der Whitelist, [Content Security Policy](http://content-security-policy.com/) `< Meta >` -Tags auf allen Ihren Seiten verwenden.
124
125Auf Android Unterstützung für CSP innerhalb der System-Webview beginnt mit KitKat (aber ist in allen Versionen mit Crosswalk WebView verfügbar).
126
127Hier sind einige Beispiel-CSP-Deklarationen für Ihre `HTML` -Seiten:
128
129    <!-- Good default declaration:
130        * gap: is required only on iOS (when using UIWebView) and is needed for JS->native communication
131        * https://ssl.gstatic.com is required only on Android and is needed for TalkBack to function properly
132        * Disables use of eval() and inline scripts in order to mitigate risk of XSS vulnerabilities. To change this:
133            * Enable inline JS: add 'unsafe-inline' to default-src
134            * Enable eval(): add 'unsafe-eval' to default-src
135    -->
136    <meta http-equiv="Content-Security-Policy" content="default-src 'self' data: gap: https://ssl.gstatic.com; style-src 'self' 'unsafe-inline'; media-src *">
137    
138    <!-- Allow requests to foo.com -->
139    <meta http-equiv="Content-Security-Policy" content="default-src 'self' foo.com">
140    
141    <!-- Enable all requests, inline styles, and eval() -->
142    <meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'">
143    
144    <!-- Allow XHRs via https only -->
145    <meta http-equiv="Content-Security-Policy" content="default-src 'self' https:">
146    
147    <!-- Allow iframe to https://cordova.apache.org/ -->
148    <meta http-equiv="Content-Security-Policy" content="default-src 'self'; frame-src 'self' https://cordova.apache.org">