Model keamanan

Sandbox

Setiap Mini Program berjalan di iframe dengan sandbox="allow-scripts" (origin opaque) dan Content Security Policy default-src 'none' plus script dan style inline. Artinya:

• tidak ada request jaringan dalam bentuk apa pun,
• tidak ada cookie atau storage browser,
• tidak ada akses ke halaman Lex di sekitarnya.

Bridge

Host mentransfer sebuah MessagePort ke dalam iframe. @lex/sdk hanya berkomunikasi lewat port itu. Host meneruskan setiap request ke API, yang di setiap pemanggilan memeriksa:

1. sesi dan workspace pengguna,
2. sesi runtime (satu per Mini Program yang terbuka; berakhir setelah satu jam atau saat ditutup),
3. bahwa kapabilitasnya ada di manifest yang sudah direview dan disetujui untuk versi yang sedang berjalan,
4. batas pemanggilan (2.000 per sesi) dan kuota pemakaian workspace.

Pemeriksaan di dalam SDK hanya untuk memberi umpan balik cepat bagi developer. API-lah yang berwenang.

Data

• Storage dibatasi per workspace + pengguna + Mini Program. Satu Mini Program tidak pernah bisa membaca data Mini Program lain, atau data pengguna lain.
• getContext() hanya mengungkap id dan nama tampilan pengguna, tidak pernah email, id workspace, atau token.
• Asisten menjawab Mini Program tanpa tool, sehingga Mini Program tidak bisa bertindak atas akun yang terhubung milik siapa pun.

Integritas

Bundle yang terbit disimpan sekali dan diverifikasi dengan SHA-256 setiap kali disajikan. Bundle yang dimodifikasi tidak akan pernah dijalankan.