Segurança e JavaScript

Por motivos de segurança, o JavaScript não é permitido no HTML retornado. Remover o JavaScript impede problemas de escalonamento de permissão, em que o gravador da função Lambda injeta um código que poderia ser executado com permissões maiores do que o usuário que está visualizando o widget no painel.

Se o HTML retornado contiver algum código JavaScript ou outras vulnerabilidades de segurança conhecidas, ele será removido do HTML antes de ser renderizado no painel. Por exemplo, as etiquetas <iframe> e <use> não são permitidas e são removidas.

Widgets personalizados não serão executados por padrão em um painel. Para fazer isso, você deve permitir explicitamente que um widget personalizado seja executado se você confiar na função do Lambda que ele invoca. É possível escolher permitir uma vez ou permitir sempre, tanto para widgets individuais quanto para todo o painel. Você também pode negar permissões para widgets individuais e para todo o painel.