Visualforce ページセキュリティ

Visualforce ページの権限は、トップレベルでのみチェックされます。ユーザーがページにアクセスできると、そのページに関連付けられているすべての Apex を実行できます。具体的な動作は次のとおりです。

• ページのコントローラーとコントローラークラスから呼び出されるすべての Apex クラス。
• ページのすべての拡張クラスと拡張クラスから呼び出されるすべての Apex。
• ページ内のカスタムコンポーネントに関連するすべての Apex クラス。
• apex:include や apex:composition の使用によりページに関連しているすべてのクラス。

たとえば、ページ A が、Apex クラス B を呼び出すコントローラーに依存する場合、ユーザーにページ A へのアクセス権のみがありクラス B へのアクセス権がなくても、ユーザーはページ A のコードを実行できます。同様に、Visualforce ページでカスタムコンポーネントと関連コントローラーが併用されている場合は、そのページに関連付けられているコントローラーに対してのみセキュリティがチェックされます。コンポーネントに関連付けられているコントローラーに対して、セキュリティはチェックされません。

ユーザーに「アプリケーションのカスタマイズ」権限がある場合は、そのユーザーは関連する組織内のすべての Visualforce ページにアクセスできます。ただし、Apex クラスに関連する制限を受ける場合があります。「アプリケーションのカスタマイズ」権限では、Visualforce ページへのアクセスがユーザーに許可されていない限り、Visualforce ページでのこれらの制限を無視できません。Visualforce ページの ID と名前は、「アプリケーションのカスタマイズ」権限のないユーザーでも参照できます。

また、ページに Apex を含めるには、ユーザーが「Apex 開発」権限を持つか、Apex クラスへのアクセス権を持つことが必要です。

メモ Salesforce サイトまたはカスタマーポータルを使用する組織は、Visualforce ページをユーザープロファイルに割り当てるか、サイト全体に対して有効化することで、Visualforce ページを有効化できます。

• ページ定義からの Visualforce ページセキュリティの設定
  Visualforce ページセキュリティを設定します。
• 権限セットでの Visualforce ページセキュリティの設定
  権限セットで Visualforce ページのアクセス権を指定します。
• プロファイルでの Visualforce ページセキュリティの設定
  プロファイルで直接 Visualforce セキュリティを設定して、そのプロファイルのユーザーに指定した Visualforce ページへのアクセス権を付与します。