Visualforce 页面安全

仅检查顶级的 Visualforce 页面的权限。一旦用户可以访问页面，他们便可以执行与页面相关联的所有 Apex。这包括：

• 页面的控制器和从控制器类调用的任何 Apex 类。
• 页面的任何扩展类和从扩展调用的任何 Apex。
• 与页面中的自定义组件相关联的任何 Apex 类。
• 通过使用apex:include或apex:composition与页面关联的任何类。

例如，如果页面 A 依赖于调用 Apex 类 B 的控制器，而用户只能访问页面 A，但不能访问类 B，那么用户仍然能够执行页面 A 中的代码。同理，如果 Visualforce 页面使用带有相关联控制器的自定义组件，则仅对与页面相关联的控制器进行安全性检查，不对与组件相关联的控制器进行安全性检查。

如果用户拥有“自定义应用程序”权限，他们可以访问关联组织中的所有 Visualforce 页面。但是，他们可能仍然会有与 Apex 类相关的限制。“自定义应用程序”权限不允许用户忽略 Visualforce 页面中的限制，除非用户拥有 Visualforce 页面访问权限。没有“自定义应用程序”权限的用户仍然可以查看 Visualforce 页面 ID 和名称。

此外，要在页面中包括 Apex，用户必须拥有 Author Apex 权限或对 Apex 类进行访问的权限。

备注 具有 Salesforce 站点或客户入口网站的组织可以通过以下方式启用 Visualforce 页面：将页面分配给用户简档或为整个站点启用页面。

• 从页面定义中设置 Visualforce 页面安全性
  设置 Visualforce 页面安全性。
• 从权限集中设置 Visualforce 页面安全性
  在权限集中指定 Visualforce 页面访问权限。
• 从简档设置 Visualforce 页面安全性
  直接从简档设置 Visualforce 安全性以便赋予该简档用户访问指定的 Visualforce 页面的权限。