Servicio HTML: Restricciones

A fin de evitar que los usuarios reciban HTML o JavaScript maliciosos, Apps Script usa iframes para apps web de servicio HTML de zona de pruebas o interfaces de usuario personalizadas para Documentos, Hojas de cálculo y Formularios de Google. (El servicio HTML no usa una zona de pruebas en otras situaciones, como generar el cuerpo de un correo electrónico). La zona de pruebas impone limitaciones al código del cliente.

Modo de zona de pruebas

Todos los modos de zona de pruebas se desactivaron, excepto IFRAME. Las apps que usan modos de zona de pruebas más antiguos ahora usan automáticamente el modo IFRAME más reciente. Si tienes secuencias de comandos que se desarrollaron con los modos anteriores (NATIVE y EMULATED), debes seguir las instrucciones de migración para asegurarte de que funcionen de forma correcta en el modo IFRAME.

El método setSandboxMode ahora no tiene efecto cuando se lo llama.

Restricciones en el modo IFRAME

El modo de zona de pruebas IFRAME se basa en la función de zona de pruebas de iframe en HTML5 y utiliza las siguientes palabras clave:

  • allow-same-origin
  • allow-forms
  • allow-scripts
  • allow-popups
  • allow-downloads
  • allow-modals
  • allow-popups-to-escape-sandbox
  • allow-top-navigation-by-user-activation: Este atributo solo se establece para proyectos de secuencia de comandos independientes.

La palabra clave allow-top-navigation, que permite que el contenido navegue por el contexto de navegación de nivel superior, está restringida y no se establece como un atributo en la zona de pruebas. Si necesitas redireccionar tu secuencia de comandos, agrega un vínculo o un botón para que el usuario realice una acción.

En el modo IFRAME, debes establecer el atributo de destino del vínculo en _top o _blank:

Code.js

function doGet() {
  var template = HtmlService.createTemplateFromFile('top');
  return template.evaluate().setSandboxMode(HtmlService.SandboxMode.IFRAME);
}

superior.html

<!DOCTYPE html>
<html>
 <body>
   <div>
     <a href="http://google.com" target="_top">Click Me!</a>
   </div>
 </body>
</html>

También puedes anular este atributo con la etiqueta <base> en la sección de encabezado de la página web adjunta:

<!DOCTYPE html>
<html>
  <head>
    <base target="_top">
  </head>
  <body>
   <div>
     <a href="http://google.com">Click Me!</a>
   </div>
 </body>
</html>

Se requiere HTTPS para el contenido activo

El contenido"activo", como las secuencias de comandos, las hojas de estilo externas y las solicitudes XmlHttpRequests, deben cargarse en HTTPS, no en HTTP.