*********************************************************************************************************************************
Hvad er Lightning-websikkerhed?
Lightning-websikkerhed (LWS – Lightning Web Security) er en ny sikkerhedsarkitektur på klientsiden for Lightning-komponenter. Den nye arkitektur er defineret af færre begrænsninger og mere funktionalitet og tilbyder en effektiv sandbox-oplevelse og en sikkerhedsposition til at håndhæve isolation af navneområde. Resultatet er en stærk, fleksibel, anvendelig sikkerhed for dine Lightning-komponenter.
Lightning Locker har været standardsikkerhedsarkitekturen for alle Lightning-komponenter. Lightning-websikkerhed (LWS) erstatter i første omgang Lightning Locker for Lightning-webkomponenter, og Salesforce tilføjer understøttelse af Aura-komponenter over flere versioner.
Tilbage til toppen
Hvilket problem løser Lightning-websikkerhed?
Lightning-websikkerhed forhindrer Lightning-komponenter i at forstyrre eller få adgang til data fra komponenter fra andre navneområder uden eksplicit tilladelse fra navneområdet.
En Lightning-side kan indeholde komponenter, der er oprettet af flere firmaer. Komponenter, der oprettes af en organisations udviklerteam, eksisterer side om side med komponenter, der oprettes af Salesforce. Hvis du opretter og distribuerer apps i pakker på AppExchange, findes dine komponenter side om side med komponenter, der er oprettet af Salesforce, og komponenterne hos den kunde, der installerer din app.
Uden forebyggende foranstaltninger kan en komponent få adgang til globale objekter og hente private ressourcer eller data fra andre komponenter på siden. En foranstaltning er at isolere komponenter efter navneområde, så en ondsindet komponent ikke kan få adgang til komponenternes ressourcer uden for dens navneområde.
Isolation af navneområdet er transparent og virtuel, hvilket gør det muligt for komponenter at tilsyneladende importere komponenter fra andre navneområder, som om de alle kører i samme miljø.
Tilbage til toppen
Hvordan fungerer Lightning-websikkerhed?
Lightning-websikkerhed isolerer komponenter i en JavaScript-sandbox, der er dedikeret til komponenternes navneområde. Med denne form for sandboxes kan vi vise globale objekter for dokument, vindue og elementer direkte uden at åbne for sikkerhedstrusler. LWS ændrer kode, der kører i JavaScript-sandboxen for at forhindre usikker adfærd. Hvis du ønsker yderligere oplysninger, kan du se Hvordan fungerer Lightning-websikkerhed.
Tilbage til toppen
Hvordan er Lightning-websikkerhed forskellig fra Lightning Locker?
Lightning-websikkerhed er forskellig fra Lightning Locker på følgende måder:
Tilbage til toppen
Er Lightning-websikkerhed mere sikkert end Lightning Locker?
Lightning-websikkerhed og Lightning Locker tilbyder aktuelt de samme niveauer af sikkerhed. Den vigtigste forskel er, at Lightning-websikkerhed tillader øget JavaScript-funktionalitet og hurtigere kørsel af kode.
LWS kan sikkert aktivere funktioner, som Lightning Locker forhindrer, fordi arkitekturen tillader en mere detaljeret tilgang til blokering af usikker adfærd. I stedet for f.eks. at forhindre brug af en API fuldstændigt kan LWS forhindre en komponent i at angive en API's egenskab.
Se Hvordan Lightning-websikkerhed er i sammenligning med Lightning Locker for at få yderligere oplysninger.
Tilbage til toppen
Hvorfor skal jeg flytte til LWS, hvis Locker er lige så sikkert?
Da Lightning-websikkerhed integreres i Lightning Experience-platformen, giver det samme sikkerhedsbeskyttelse som Lightning Locker for at gøre overgangen mellem de to arkitekturer nemmere. Vi ønsker, at dine Lightning-komponenter til en start skal kunne køre under begge arkitekturer. Men arkitekturen er fundamentalt anderledes.
LWS indfører nye webstandarder, der er i aktiv udvikling, mens Lightning Locker er en unik løsning, som Salesforce implementerede, da der endnu ikke fandtes tilstrækkelige webstandarder. Tænk på LWS som fremtiden for Lightning-komponentsikkerhed og Lightning Locker som forældet implementering af Lightning-komponentsikkerhed. Salesforce er deltager i udviklingen af de webstandarder, som LWS implementerer. Vores udviklingsbestræbelser er nu bag LWS, og Lightning Locker bliver vedligeholdt, ikke forbedret.
Du får et forspring ved at indføre LWS, da det har bedre generel ydeevne end Lightning Locker. LWS-arkitekturen bruger virtualiseringsbegreber i sandboxes i stedet for wrappere omkring hver usikker API. Denne tilgang reducerer den straf på ydeevne, der altid pålægges for at sikre datasikkerhed. Efter indledende sideindlæsning kører komponenterne hurtigere under LWS, end de gør under Lightning Locker.
Når alle komponenter kan køre under LWS, og du ikke behøver at skifte tilbage til Lightning Locker, kan du forbedre dine komponenter til at få adgang til andre fordele, der er beskrevet i Hvordan Lightning-websikkerhed er i sammenligning med Lightning Locker.
Vi har arbejdet i baggrunden for at tilføje support af Aura-komponenter i Lightning-websikkerhed. Den aktuelle generelle kun-LWC-begrænsning er et midlertidigt punkt i udviklingen af Lightning-websikkerhed. Med Spring ’23-versionen er LWS for Aura tilgængelig som en betafunktion og forventes at være generel tilgængelig i Summer ’23. (safe harbor)
Beslutningen om at flytte din organisation og komponenter til LWS er et spørgsmål om, hvornår der skal flyttes, ikke om du skal flytte. I sidste ende vil Lightning Locker ikke være en gyldig løsning for Lightning-komponentsikkerhed. Jo tidligere du kan flytte til LWS, desto bedre er det for din komponents sikkerhed og ydeevne.
Tilbage til toppen
Hvornår vil Lightning-websikkerhed blive generelt tilgængelig?
Lightning-websikkerhed blev generelt tilgængelig i Spring ’22 for Lightning-webkomponenter, men ikke for Aura-komponenter. Med Spring ’23-versionen er LWS for Aura tilgængelig som en betafunktion og forventes at være generelt tilgængelig i Summer ’23. (safe harbor)
Salesforce planlægger at erstatte Lightning Locker fuldstændigt med LWS over tid.
Tilbage til toppen
Bør kunder aktivere Lightning-websikkerhed?
Kunder opfordres til først at aktivere LWS i et sandbox-miljø for at teste det og derefter i produktion. Alle Lightning-komponenter er påvirket af LWS, herunder komponenter, der er installeret gennem pakker. Hvis du ønsker yderligere oplysninger, kan du se Hvornår skal Lightning-websikkerhed aktiveres.
Salesforce aktiverer LWS automatisk ved brug af en faseinddelt tilgang. Se afsnittet "LWS-aktivering" for at få yderligere oplysninger.
Tilbage til toppen
Hvad er der af pakkeimplikationer for ISV-partnere?
Pakkestrategier for ISV-partnere afhænger af flere faktorer, herunder typen af komponenter der benyttes i ISV-løsningen, og den sikkerhedsarkitektur, der er aktiveret i kundeorganisationen.
Denne tabel opsummerer pakkeimplikationerne for ISV-partnere.
| Komponenter i ISV-pakke | Understøttet af Lightning Locker | Understøttet af Lightning-websikkerhed | Pakker nødvendige | LWS-indstilling i kundeorganisation |
| Kun Aura-komponenter. | Ja | Beta | 1 | Aktiveret eller inaktiveret |
| Aura-komponenter og Lightning- webkomponenter, der ikke udelukkende bruger LWS-funktioner*. | Ja | Beta | 1 | Aktiveret eller inaktiveret |
| Ingen Aura-komponenter. Lightning- webkomponenter, der ikke udelukkende bruger LWS-funktioner. | Ja | Ja | 1 | Aktiveret eller inaktiveret |
| Ingen Aura-komponenter. Lightning-webkomponenter, der udelukkende bruger LWS-funktioner. | Nej. Locker kræver en separat pakke med komponenter, der ikke udelukkende bruger LWS-funktioner. | Ja | 2 | Aktiveret for den pakke, der udelukkende bruger LWS-funktioner. Inaktiveret for den pakke, der ikke bruger LWS-funktioner. |
*Kun LWS-funktioner omfatter global objektmanipulation, import eller inkludering af komponenter og moduler fra andre navneområder og adgang til indhold i iframe-elementer.
Hvis du ønsker yderligere oplysninger, kan du se bloggen What ISV Partners Need to Know About Lightning Web Security (Hvad ISV-partnere skal vide om Lightning-websikkerhed).
Partneren kan teste sit produkt i en sandbox eller i en testorganisation med LWS aktiveret for at bekræfte korrekt adfærd. Se Workflow to Try Your LWCs with Lightning Web Security (Arbejdsflow til at prøve dine Lightning-webkomponenter med Lightning-websikkerhed).
Efter at have bekræftet, at produktet kører som forventet med Lightning-websikkerhed, kan partnere samarbejde med deres kunder for at finde ud af, om kundeorganisationen kan aktivere Lightning-websikkerhed. Se Hvornår skal Lightning-websikkerhed aktiveres, som angiver forhold, hvor det er OK at aktivere LWS i produktion.
Hvis en partner ikke anvender de nye funktioner i Lightning-websikkerhed, er der ingen grund til at vedligeholde to versioner af pakker. En pakke, der har fungeret med Lightning Locker, vil også fungere med LWS, hvis den kun indeholder Lightning-webkomponenter.
Hvis en partner ønsker at frigive nye pakker for at udnytte funktioner, der er aktiveret af LWS, f.eks. import af komponenter fra et andet navneområde:
Hvis partneren også ønsker at understøtte kunder, der ikke kan aktivere Lightning-websikkerhed, skal partneren levere separate pakker, der fungerer med Lightning Locker, indtil Salesforce har aktiveret Lightning-websikkerhed 100 % på tværs af alle organisationer.
Understøttelse af kunder på begge arkitekturer kræver kun separate pakker, der er specifikke for Lightning Locker og Lightning-websikkerhed, når partneren ønsker at bruge funktioner, som Lightning Locker blokerer.
Tilbage til toppen
Hvordan ved en ISV-partner, om en kunde bruger LWS på nuværende tidspunkt?
Bed kunden om at kontrollere LWS-indstillingen i Opsætning eller programmeringsmæssigt kontrollere værdien af lockerServiceNext-indstillingen ved brug af Metadata-API. Hvis værdien er sand, er LWS aktiveret. Se afsnittet SessionSettings i Vejledning for udviklere i metadata-API.
For Experience Builder-lokaliteter indstilles LWS og Locker uafhængigt af organisationens LWS-indstilling. Bed kunden om at kontrollere indstillingen for Lightning Locker i Experience Builder eller programmeringsmæssigt kontrollere værdien af isLockerServiceEnabled-indstillingen ved brug af Metadata-API. Hvis værdien er sand, er LWS aktiveret. S afsnittet ExperienceBundle i Vejledning for udviklere i metadata-API.
Tilbage til toppen
Hvordan påvirker LWS Experience Cloud-lokaliteter:
Experience Cloud har flere typer af lokaliteter. Se Ordliste til Experience Cloud for at få beskrivelser af hver af dem.
Aura-lokaliteter kan omfatte LWC-komponenter og Aura-komponenter. I Spring ’23, når LWS-indstillingen er aktiveret i organisationen, beskytter LWS begge typer komponenter på Aura-lokaliteter. Understøttelsen af Aura-komponenter er i beta, som beskrevet i produktbemærkningen Use Lightning Web Security for Lightning Web Components (GA) and Aura Components (Beta) (Brug Lightning-websikkerhed til Lightning-webkomponenter (GA) og Aura-komponenter (beta)). Når LWS ikke er aktiveret i organisationen, beskytter Lightning Locker komponenterne på en Aura-lokalitet. Hvis du inaktiverer Lightning Locker i en Aura-lokalitets indstillinger, inaktiverer du den sikkerhedsarkitektur, der aktuelt er i kraft. Hvis LWS er aktiveret på organisationsniveau, deaktiverer Lightning Locker på Aura-lokaliteten også LWS for Aura-lokaliteten.
LWR-lokaliteter kører ved at bruge Lightning Web-kørsel (LWR), som leverer sin egen forekomst af LWS til at beskytte LWC-komponenterne på lokaliteterne. Fordi der er en separat LWS-forekomst, påvirker organisationsindstillingen for LWS ikke LWR-lokaliteter. Hvis du inaktiverer Lightning Locker på LWR-lokaliteten, inaktiveres lokalitetens forekomst af LWS, selv hvis LWS er aktiveret i organisationen. Navnet "Lightning Locker" bruges, fordi den nye sikkerhedsarkitektur blev føjet til LWR, før navnet Lightning-websikkerhed blev valgt. Vi planlægger at opdatere navnet i Experience Builder. Se LWR Template Limitations (Begrænsninger for lWP-skabelon) i Hjælp til Salesforce for at få yderligere oplysninger.
Salesforce Faner + Visualforce-lokaliteter beskyttes ikke af LWS eller Lightning Locker. De bruger en anden sikkerhedsarkitektur. LWS-indstillingen i organisationen har ingen effekt.
Denne tabel opsummerer effekten af de indstillinger, der er valgt på Aura- og LWR-lokaliteter og organisationen:
| Experience Cloud-lokalitetsskabelon | Locker-indstilling for lokalitet | LWS-indstilling for organisation | LWS- og Locker-tilstand for lokaliteten |
| Aura-lokalitet | inaktiveret | inaktiveret | inaktiveret |
| Aura-lokalitet | inaktiveret | aktiveret | inaktiveret |
| Aura-lokalitet | aktiveret | inaktiveret | Locker for LWC og Aura |
| Aura-lokalitet | aktiveret | aktiveret | LWS for LWC og Aura (beta). Hvis LWS blev aktiveret i Winter '23, bruges Locker til Aura-komponenter i Spring '23. |
| LWR-lokalitet | inaktiveret | inaktiveret | inaktiveret |
| LWR-lokalitet | inaktiveret | aktiveret | inaktiveret |
| LWR-lokalitet | aktiveret | inaktiveret | LWS (version, der bruges i selve LWR). |
| LWR-lokalitet | aktiveret | aktiveret | LWS (version, der bruges i selve LWR). |
Tilbage til toppen
Bruger Field Service LWS?
Field Service bruger Lightning Web-kørsel, som leverer sin egen forekomst af LWS. LWS-indstillingen i organisationen påvirker ikke den forekomst, der bruges i Field Service. Tilpassede Lightning-webkomponenter, som udviklere opretter for at udbrede Field Service, beskyttes af LWS-forekomsten i LWR. Den meste LWS-dokumentation er relevant for udviklere, der arbejder med komponenter til Field Service, bortset fra oplysningerne om aktivering og inaktivering af LWS i organisationen.
Vil Salesforce aktivere Lightning-websikkerhed for kunder?
(safe harbor)
Ja, over tid. Lightning-websikkerhed blev generelt tilgængelig i Spring ’22 for Lightning-webkomponenter, men ikke for Aura-komponenter. Under Spring ’22-versionen aktiverede Salesforce gradvist Lightning-websikkerhed for Lightning-webkomponenter for tusindvis af kunder, hvis organisationer indeholdt kun-Lightning-webkomponenter (LWC'er).
Fra og med Winter ‘23-versionen har nye organisationer LWS for LWC aktiveret som standard.
Med Spring ’23-versionen er LWS for Aura tilgængelig som en betafunktion og forventes at være generel tilgængelig i Summer ’23 (safe harbor). LWS for Aura (beta) aktiveres som standard i nye Salesforce-organisationer og organisationer uden tilpassede komponenter. Organisationer med LWS for LWC aktiveret i deres organisation før Spring ’23 og med kun LWC'er i deres organisation vil også få LWS for Aura (beta) aktiveret som standard i deres organisation med Spring ’23-versionen.
Organisationer med LWS for LWC aktiveret før Spring ’23 og med Aura-komponenter i deres organisation er udelukket fra LWS for Aura (beta), så det påvirker ikke dine Aura-komponenter i Spring ‘23. Udelukkelsen gælder kun for produktionsorganisationer. LWS for Aura (beta) er aktiveret for Spring '23-sandboxes, så du kan starte med at teste dine Aura-komponenter. Se Workflow to Try Your LWCs with Lightning Web Security (Arbejdsflow til at prøve dine Lightning-webkomponenter med Lightning-websikkerhed) for at få yderligere oplysninger.
Vi planlægger at aktivere Lightning-websikkerhed trinvist for alle kunder over de kommende versioner. Indstillingen til at inaktivere det er midlertidig og vil i sidste ende blive fjernet (safe harbor).
Tilbage til toppen
Hvilken potentiel påvirkning kan der være, når LWS aktiveres som standard i nye organisationer?
Vi annoncerede i Winter '23-produktbemærkninger, at LWS for Lightning-webkomponenter aktiveres som standard i nye Salesforce-organisationer. Fra og med Spring ’23-versionen vil LWS for Aura-komponent (beta) også blive aktiveret som standard i nye Salesforce-organisationer.
I tilpassede organisationer, som du planlægger at flette eller opdele i en ny organisation, skal du finde ud af, om der anvendes Lightning-komponenter i de eksisterende organisationer. Tilsvarende skal du, hvis du er en multiorganisationskunde, finde ud af, om der anvendes Lightning-komponenter i nogen metadataskabeloner og kodelagre, som du bruger til at bootstrappe nye organisationer. Hvis du i en ny organisation anvender dine egne Lightning-komponenter eller pakkede Lightning-komponenter, som du har anvendt i dine organisationer uden LWS aktiveret, skal du være klar over, at de kører med LWS aktiveret i den nye organisation. Sørg for at teste dine Lightning-komponenter eller administrerede pakker, der indeholder Lightning-komponenter, i et sandbox-miljø med indstillingen Brug Lightning-websikkerhed til Lightning- webkomponenter (GA) og Aura-webkomponenter (beta) aktiveret.
Spørg leverandører af administrerede pakker, om deres pakker er kompatible med LWS. Du kan om nødvendigt inaktivere LWS, men vi anbefaler, at du opretter en supportsag til at hjælpe med at løse eventuelle problemer med LWS først.
Tilbage til toppen
Hvor aktiveres LWS for Aura (beta) automatisk i Spring '23?
Vi aktiverer LWS for Aura (beta) i disse typer af organisationer:
Hvor aktiveres LWS for Aura (beta) ikke automatisk i Spring '23?
Vi aktiverer ikke LWS for Aura (beta) i disse organisationer:
Tilbage til toppen
Kan jeg inaktivere Lightning-websikkerhed, efter Salesforce har aktiveret det?
Ja. Du kan nemt vende tilbage til at bruge Lightning Locker for Lightning-komponenter ved at fravælge Brug Lightning-websikkerhed til Lightning-webkomponenter (GA) og Aura-komponenter (beta) på siden Sessionsindstillinger. Hvis du finder ud af, at dine Lightning-komponenter ikke fungerer korrekt, skal du åbne en supportsag.
Vi planlægger at aktivere Lightning-websikkerhed gradvist for alle kunder over kommende versioner. Indstillingen om at inaktivere det er midlertidig og vil i sidste ende blive fjernet. (safe harbor)
Tilbage til toppen
Når Lightning-websikkerhed er aktiveret i min produktionsorganisation, findes der så en mekanisme til at angive undtagelser på komponentniveau?
Nej. Når Lightning-websikkerhed er aktiveret, påvirkes alle Lightning-komponenter i organisationen. Lightning-websikkerhed kan ikke inaktiveres på individuelle komponenter og er ikke knyttet til en API-version.
Sørg for, at alle dine Lightning-komponenter er klar til at køre Lightning-websikkerhed, før du aktiverer dem i en produktionsorganisation. Se Workflow to Try Your LWCs with Lightning Web Security (Arbejdsflow til at prøve dine LWC'er med Lightning-websikkerhed), hvis du ønsker yderligere oplysninger.
Tilbage til toppen
Hvor får jeg mere at vide om Lightning-websikkerhed?
Kunderne kan bruge følgende ressourcer til at få mere at vide om LWS:
Tilbage til toppen
Hvor kan jeg henvende mig, hvis jeg har flere spørgsmål eller bekymringer om Lightning-websikkerhed?
000392327

We use three kinds of cookies on our websites: required, functional, and advertising. You can choose whether functional and advertising cookies apply. Click on the different cookie categories to find out more about each category and to change the default settings.
Privacy Statement
Required cookies are necessary for basic website functionality. Some examples include: session cookies needed to transmit the website, authentication cookies, and security cookies.
Functional cookies enhance functions, performance, and services on the website. Some examples include: cookies used to analyze site traffic, cookies used for market research, and cookies used to display advertising that is not directed to a particular individual.
Advertising cookies track activity across websites in order to understand a viewer’s interests, and direct them specific marketing. Some examples include: cookies used for remarketing, or interest-based advertising.