生成AIアプリ共有プラグイン（無料）

Gemini Canvas等で作った電卓・チェックリスト・簡易シミュレーターなどのHTML/CSS/JSをそのままフィールドに貼り付けるだけで、そのレコードの担当者や関係者が別タブですぐに開いて使えるようになります。ファイルのアップロードや外部サービスへの公開は不要です。

設定で「React/JSXサポート」を有効にすると、export default function App() { ... }形式のReactコンポーネント(lucide-reactのアイコンやrechartsのグラフを使ったコードを含む)をそのまま実行できます。生成AIが出力した「タスク管理」「集計ダッシュボード」のような簡易Webアプリを、レコードに貼り付けるだけで動く形で残せます。

このプラグインは「入力されたHTML/CSS/JSを実行する」ことが機能そのものであり、一般的なXSS対策(値をエスケープして表示する)は原理的に適用できません。そのため「実行させないようにする」のではなく「実行させた場合の影響範囲を技術的に限定する」設計にしています。

• Blobで作成したURLはkintoneと同じオリジンを引き継ぐ(Web標準の仕様)ため、素朴に別タブで開くとkintoneのクッキー・セッションへ理論上アクセスできてしまいます。これを防ぐため、実際のHTML/CSS/JSはsandbox="allow-scripts allow-modals allow-forms allow-popups"(allow-same-originを含めない)を指定したiframeの中だけで実行し、kintoneと切り離された一意のオリジンとして扱われるようにしています。
• 別タブへのリンクにはtarget="_blank" rel="noopener noreferrer"を設定し、開いたタブから元のkintoneタブを操作されること(タブナビング)を防いでいます。
• 「Data URL」方式(任意選択、既定はBlob)は仕組みがよりシンプルですが、環境によっては別タブへの遷移がブロックされたり、初回描画が止まったりすることを実機で確認済みで、設定画面にその旨を明記しています。
• 詳細画面のリンク直下には、直近の作成者名を含む警告文を常時表示し、信頼できる相手が入力した内容か確認してから開くよう注意喚起しています。
• React/JSXサポート(任意、既定OFF)を有効にした場合のみ、生成ページ(kintoneとは別オリジンで実行される領域の中)がReact・Babel・Tailwind CSS等を外部CDNから読み込みます。OFFのままなら外部通信は一切発生しません。
• HTML/CSS/JSフィールドの編集権限はこのプラグインでは制御しないため、フィールドのアクセス権設定で管理者が制限する運用を前提としています。

詳細な確認項目・確認日は下記GitHubのチェックリストに全項目を掲載しています。

→ security-checklist.md をGitHubで見る