Dynamisk iframe

Tjo!

Om du ska nyttja iframe så se till att konfigurera CSP för iframe: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Con... så att det enbart är tillåtet för de valda spårningstjänster vars spårning skall visas inuti iframe-elementet. Glöm inte heller påtvingad HTTPS för utan det så är det öppet mål för alla paketsniffare!

När du säger "företag.se/frakt?1122334455" vad är "1122334455" då? Är det ett unikt nummer som Ni tillhandahåller eller är det ett faktiskt spårningsnummer från någon spårningstjänst? Om det sistnämnda behöver ni hantera faktumet att samma spårningsnummer kanske någon gång kommer att användas av två olika spårningstjänster som ni tillhandahåller era kunder med.

Bättre vore då med en databastabell som har någon GUID-genererad spårningslänk som också är kopplad till inloggad säljare (t.ex. $_SESSION['seller_id'] eller vad ni nu har för associerad inloggningssessionskaka) och så inuti samma databastabellrad finns vilket faktiska spårningsnummer som gäller och även spårningstjänst.

Detta hjälper till med delen som ska skapa iframe-elementet så den vet vilken webbplats det gäller. Då löser det även problematiken med flera olika spårningsnummer från samma spårningstjänst tillhandahållen åt samma säljare på er webbplats.

Din JS-kod bör då börja med att kontrollera att länken för iframe som ska visas börjar med en URL från en lista av godkända URLs och saknas den så nekas det med felmeddelande, "Kunde ej ladda fram spårning". Sedan kan den hämta rätt databastabellrad utifrån angiven GUID och inloggad säljare ($_SESSION['seller_id_or_whatever']).

Ja just det, du säger WordPress, så då säger du PHP. Då går det ju att lösa det hela med att när en Säljare klickar på någon spårningslänk som ni har så kan den hämta rätt databastabellrad ur någon databas och så kan det på serversidan kontrolleras att det är en giltig URL (om någon skulle ha ändrat i databasen vilket innebär andra oroväckande faror) från listan innan iframe-elementet visas.

Det intressanta är då hur spårningslänkar genereras på webbplatsen? Någonstans måste de erhållas via mejl eller annan form av databekräftelse som då kan "be parsed" ("bearbetas") och sedan kan den läggas in i den där databastabell och förknippas med rätt inloggad säljare. Sedan bör det övriga inte vara något större bekymmer tänker jag?

Men inget av detta spelar någon roll om det körs via HTTP!

Mvh,
WKF.