オブジェクトドロップダウンのセキュリティに関する考慮事項

オブジェクトドロップダウンの検証で使用する固定値フィルターは、アクションタイプを閲覧できるすべてのユーザーに公開されます。これらのフィルターを使用すると、絞り込まれたオブジェクトを閲覧する権限がないユーザーに、プロパティ値の組み合わせが公開されるリスクがあります。このリスクは、オブジェクトのプロパティまたはパラメーターを使用してオブジェクトセットを絞り込むことで軽減されます。値はインターフェースには直接表示されません。

例：データプライバシーの問題

例として、Investigation Name プロパティを持つ Document オブジェクトがあるとします。アクションタイプで、オブジェクト参照パラメーターにフィルターを適用し、調査名が Area 51 Investigation のドキュメントのみを表示するようにします。

この場合、それらのドキュメントを閲覧できないユーザーに、一部の Document オブジェクトのプロパティ値が Area 51 Investigation であることを明らかにしてしまう可能性があります。

これは固定値フィルターにのみ当てはまります。パラメーターまたは別のオブジェクトのプロパティを使用して Investigation Name プロパティを絞り込む場合、次の理由により Area 51 Investigation への参照はありません。

• Investigation Name パラメーターはユーザーが指定します。基になるデータに関する情報が、アクションタイプの閲覧者に公開されることはありません。
• Investigation Object パラメーターは、このユーザーに対するオブジェクトの閲覧に関する既存の制限に従います。

したがって、これらの検索クエリはいずれもデータプライバシー上の懸念にはなりません。

技術的な詳細

ほとんどの場合、アクションのバックエンドは、機密性の高いプロパティ値が公開されないように、アクションタイプの定義内の機密情報を削除します。たとえば、アクションタイプを編集できないユーザーには、アクションの実行条件は表示されません。同様に、ユーザーはインターフェースでアクションタイプの定義を表示したり、バックエンドのレスポンスを調べたりしても、新しいオブジェクトドロップダウンのフィルターを確認できません。

ただし、アクションフォームを表示すると、オブジェクトドロップダウンの検証がオブジェクトセットに変換されます。つまり、ユーザーはこのオブジェクトセットを含むネットワークリクエストを調べることができます。上記の例では、ユーザーは Investigation Name = 'Area 51 Investigation' フィルターを含むオブジェクトセット RID を受け取るため、対応するオブジェクトを1個も閲覧できなくても、そのプロパティ値が存在することが明らかになります。

つまり、これらの値は、どのユーザーに対してもインターフェースには表示されません。セキュリティよりもインターフェースに表示されるかどうかを重視する場合は、この警告を無視してもかまいません。