オブジェクトドロップダウンのセキュリティ考慮事項

オブジェクトドロップダウンの検証における静的な値のフィルターは、アクションタイプを閲覧できるすべてのユーザーに公開されます。これらのフィルターの使用は、フィルター処理されたオブジェクトを閲覧する権限がないユーザーにプロパティ値の組み合わせを露出するリスクを伴います。このリスクは、オブジェクトのプロパティやパラメーターを利用してオブジェクトセットをフィルター処理することにより軽減されます。値はインターフェースで直接見えません。

例：データプライバシーの問題

例として、Investigation Name プロパティを持つ Document オブジェクトがあるとします。アクションタイプには、オブジェクト参照パラメーターにフィルターを追加して、Investigation Name が Area 51 Investigation である Documents のみを表示するようにします。

ここでは、Area 51 Investigation が一部の Document オブジェクトのプロパティ値であることを、それらのドキュメントを閲覧できないユーザーに暴露する可能性があります。

これは 静的値フィルター にのみ適用されます。パラメーターまたは他のオブジェクトのプロパティによって Investigation Name プロパティをフィルター処理する際には、Area 51 Investigation への参照はありません。なぜなら、

• Investigation Name パラメーターはユーザー提供です。基本データに関する情報はアクションタイプのビューアーには公開されません。
• Investigation Object パラメーターは、このユーザーに対する既存のオブジェクトの可視性の制限を尊重します。

したがって、これらの検索クエリはデータプライバシーの懸念を表していません。

技術的詳細

ほとんどの場合、Actions バックエンドは、敏感なプロパティ値を公開することを避けるために、アクションタイプ定義内の敏感な情報を削除します。例えば、アクションの送信基準は、アクションタイプを編集できないユーザーから隠されます。同様に、ユーザーは、インターフェース内のアクションタイプ定義やバックエンドでの応答を検査する際に、新しいオブジェクトドロップダウンフィルターを見ることはできません。

ただし、アクションフォームを表示しているとき、オブジェクトドロップダウン検証はオブジェクトセットに変換されます。つまり、ユーザーはこのオブジェクトセットを含むネットワークリクエストをレビューすることができます。上記の例では、ユーザーは Investigation Name = ‘Area 51 Investigation’ フィルターを含むオブジェクトセット RID を受け取り、そのプロパティ値の存在を示すことになります。それらの対応するオブジェクトを一切表示できない場合でもです。

これは、これらの値がユーザーに対して インターフェース上で見えない ことを意味します。可視性がセキュリティよりも大きな懸念である場合、この警告は無視できます。