您位於此處：
內嵌登入
「內嵌登入」是舊版功能,可讓您使用少量 JavaScript 將登入表單直接放置在外部網頁上。
控制名稱
內嵌登入
建議組態
透過 Salesforce Identity 內嵌登入,客戶可以將 Salesforce 登入功能整合至自己的外部網站。不建議此控制。
控制概觀
「內嵌登入」是舊版功能,可讓您使用小部分 JavaScript 與類似 <iframe> 的結構,將登入表單直接放置在外部網頁上。
未設定安全性風險
不建議使用「內嵌登入」,因為這會造成點閱綁架和跨網站指令檔 (XSS) 的高度風險,因為在技術上,登入介面是在外部第三方網站內部「主控」,而非專屬且安全的 Salesforce 網域上。
威脅情況
攻擊者入侵主控 Web 伺服器,並將惡意程式碼注入至內嵌登入指令檔,以在使用者認證輸入至表單時進行「探查」並加以捕捉。
估計 CVSS 分數範圍
嚴重 (9.0–10.0)。
風險影響考量事項
由於驗證是在外部框架內進行的,因此使用者會失去 Salesforce 品牌 URL 列的視覺安全性,因此使用者幾乎無法驗證其正在與合法登入入口網頁互動。
風險愈高時機
如果主控網站沒有嚴格的內容安全性原則 (CSP),或其缺少可告知瀏覽器精確授權哪些網域在框架中顯示登入表單的特定安全性標題,則會讓網站開放供未經授權的第三方頁面劫持。
低度風險時機
只有在外部網站完全受管理、高度安全且使用最嚴格的瀏覽器型安全性標題來隔離內嵌登入代碼時,風險才會降低。
業務與整合考量事項
維護「內嵌登入」需要大量開發人員維護,以確保第三方網站的 JavaScript 與 Salesforce 不斷演進的安全性更新和 Cookie 處理原則保持相容。
建議的補救措施
組織應移轉至自訂 UI 的無周邊身分驗證,或使用標準 OAuth 2.0 重新導向流程,以確保在強化的 Salesforce 網域上進行驗證。
安全性健康檢閱指南
Security Health Review 不建議使用「內嵌登入」,因為其依賴於 iframes,這會導致有顯著的點閱綁架風險,以及由於第三方 Cookie 的現代瀏覽器限制而導致的頻繁工作階段失敗。
