När du lanserar ett polerat UI för att visa PDF‑filer, PPT‑presentationer eller fakturor fokuserar du vanligtvis på estetik, responsivitet och laddningstid. Vad som ofta förbises är hur dokumenten färdas från din server till användarens webbläsare. Ett enda misstag kan förvandla en annars solid applikation till en dataläcksvektor.
I den här guiden går vi igenom de sju säkerhetsfokuserade funktionerna du bör inbädda—direkt ur lådan—när du integrerar en integritet‑först dokumentvisare. Checklistan är skriven för front‑end‑ingenjörer som vill stärka sina inbäddningar utan att lägga till onödig komplexitet.
1. End‑to‑End‑kryptering av dokumentströmmen
Varför det är viktigt
Även om du levererar filer via HTTPS kan det råa dokumentet avlyssnas av en komprometterad webbläsartillägg eller ett skadligt skript som läser svaret innan det når visaren.
Så implementerar du
| Steg | Åtgärd |
|---|---|
| Server‑side‑kryptering | Kryptera filen (AES‑256‑GCM är ett bra val) innan den lagras eller strömmas. |
| Transport‑säkerhet | Leverera den krypterade blobben över TLS 1.3. |
| Klient‑side‑dekryptering | Starta en Web Worker som tar emot den krypterade strömmen, dekrypterar den i minnet och matar in klartexten direkt i visarens canvas. |
| Exponera aldrig nyckeln | Behåll dekrypteringsnyckeln i en kortlivad, servergenererad token (se funktion #4). |
När visaren renderar har dokumentet aldrig exponerats i klartext på nätverket eller i huvudtråden.
2. Content‑Security‑Policy (CSP) vitlistning
Risken
En slapp CSP låter en angripare injicera skadliga skript eller ladda falska resurser som kan läsa visarens canvas‑data.
Viktiga punkter
- ‘unsafe‑inline’ och ‘unsafe‑eval’ är förbjudna för skript.
- Endast visarens CDN (eller själv‑hostade paket) får leverera JavaScript.
- Ramar är begränsade till den betrodda visardomänen.
En strikt CSP minskar dramatiskt attackytan för sidan som hostar inbäddningen.
3. Same‑Origin‑isolering via iframe Sandbox
Varför sandbox?
Även med CSP kan en komprometterad sida försöka nå in i visarens DOM. En isolerad <iframe> skapar en säkerhetsbur som värdsidan inte kan bryta utan explicit tillstånd.
Sandbox‑flaggor att undvika
allow-top-navigation– förhindrar att visaren kapar topp‑nivå‑fönstret.allow-popups– blockerar oväntade pop‑ups som kan användas för phishing.
Om visaren behöver kommunicera med föräldrasidan (t.ex. för UI‑synk) använder du postMessage med en explicit origin‑kontroll.
4. Token‑baserad åtkomstkontroll
Problemet med direkta URL:er
Publika, statiska URL:er låter vem som helst med länken ladda ner filen för alltid.
Eftersom tokenen är signerad på server‑sidan ogiltigförklaras varje manipulering av begäran, och visaren vägrar att ladda.
5. Vattenmärkning & dynamiska överlägg
Syfte
En dynamisk, klient‑side vattenstämpel lägger till ett ansvarslager utan att ändra originalfilen.
Implementeringstips
- Rita vattenstämpeln på ett canvas‑överlägg som ligger ovanför PDF‑sidorna.
- Använd sessionens e‑post eller ett slumpmässigt UUID så varje visarinstans blir unik.
- Växla överlägget med en enkel flagga för att hålla prestandapåverkan minimal.
Om ett läckt dokument dyker upp pekar den inbäddade identifieraren direkt på källan.
6. Nedladdnings‑ och utskriftsrestriktioner
Standardbeteende i webbläsare
De flesta webbläsare visar en högerklicks‑kontextmeny som kan spara canvas som en bild, vilket i praktiken exporterar sidan.
Vad en visare kan och inte kan göra
Ett dokumentvisar‑SDK kan dölja export‑åtgärder från verktygsfältet, och Doconut‑funktionskatalogen listar utskrift i webbläsaren och PDF‑export bland de funktioner du kan välja att visa. Kontrollera alternativnamnen mot dokumentationen för den version du installerar snarare än mot någon artikel, inklusive den här: konfigurationsnycklar ändras mellan versioner.
Viktigare är den del som ingen verktygsfältsinställning täcker. Att dölja en knapp är ett arbetsflödesval, inte en åtkomstkontroll. Servern måste fortfarande auktorisera varje sida, miniatyr, export, nedladdning och utskriftsbegäran på egen hand, eftersom dessa slutpunkter kan anropas direkt. Och när pixlar väl är på en skärm finns skärmdumpar, kameror och tillgänglighetsverktyg; en visare som lovar annat säljer dig något den inte kan leverera.
7. Audit‑loggning & händelse‑krokar
Värdet av insyn
Även den mest härdade visaren kan missbrukas. Att logga vem som öppnade vilket dokument, när och vilka åtgärder som utfördes skapar ett forensiskt spår.
Med real‑tidsloggar kan du upptäcka avvikande mönster—t.ex. en enskild användare som öppnar dussintals konfidentiella PDF‑filer på sekunder—och utlösa varningar eller återkallelser.
Slutsats
Att inbädda en dokumentvisare är ett säkerhetsansvar, inte bara ett UI‑ansvar. Kryptering av dokumentströmmen, en strikt Content‑Security‑Policy, en isolerad iframe sandbox, token‑baserad åtkomst, dynamiska vattenmärken, exportrestriktioner behandlade som UX snarare än skydd, och audit‑loggning är det som skiljer en inbäddning du kan försvara från en du inte kan.
Två av de sju är dina oavsett vilken visare du väljer: auktorisation och audit. Ingen komponent kan fatta det beslutet åt din hyresgäst.
Redo att bygga inbäddningen?
- Börja med leverantörens egen dokumentation för den version du installerar. För Doconut är det doconut.com — paket, installationsguider och exempel. Att kopiera konfigurationsnycklar från artiklar är hur integrationer går sönder vid uppgradering.
- Lägg till den sju‑punkts checklistan i din pull‑request‑mall så att säkerhetsgranskningen sker innan sammanslagning, inte efter incidenten.
- Testa de negativa fallen först: en annan hyresgästs dokumentidentifierare, en utgången session, en direkt begäran till en sida eller export‑slutpunkt. Det är dessa tester som avslöjar verkliga hål.