Seguridad y JavaScript

Por razones de seguridad, JavaScript no está permitido en el HTML que se devuelve. La eliminación de JavaScript evita problemas de escalamiento de permisos, donde el programador de la función Lambda inyecta código que podría ejecutarse con permisos superiores que el usuario que ve el widget en el panel.

Si el HTML devuelto contiene algún código JavaScript u otras vulnerabilidades de seguridad conocidas, se limpia del HTML antes de que se ejecute en el panel. Por ejemplo, las etiquetas <iframe> y <use> no están permitidas y se eliminan.

Los widgets personalizados no se ejecutarán de forma predeterminada en un panel. En su lugar, debe permitir explícitamente que se ejecute un widget personalizado si confía en la función Lambda que invoca. Puede optar por permitirlo una vez o permitirlo siempre, tanto para widgets individuales como para todo el panel. También puede denegar el permiso para widgets individuales y para todo el panel.