javascript - Facebook 如何禁用浏览器的集成开发者工具？

Question

显然，由于最近的诈骗，开发者工具被人们用来发布垃圾邮件，甚至被用来“破解”帐户。 Facebook屏蔽了开发者工具，我连控制台都用不了了。

他们是怎么做到的？ One Stack Overflow post claimed that it is not possible ，但 Facebook 已经证明他们错了。

只要去 Facebook 打开开发者工具，在控制台输入一个字符，就会弹出这个警告。不管你输入什么，它都不会被执行。

这怎么可能？

他们甚至阻止了控制台中的自动完成功能:

Answer 1

我是 Facebook 的安全工程师，这是我的错。我们正在为一些用户进行测试，看看它是否可以减缓一些攻击，即用户被诱骗将(恶意)JavaScript 代码粘贴到浏览器控制台中。

明确一点:试图阻止黑客客户端是 bad idea一般来说;这是为了防止 specific social engineering attack .

如果您最终进入了测试组并且对此感到恼火，对不起。我试图使旧的退出页面(现在的 help page)尽可能简单，同时仍然足够可怕以阻止至少 一些 受害者。

实际代码与 @joeldixon66's link 非常相似;无缘无故我们的有点复杂。

Chrome 将所有控制台代码封装在

with ((console && console._commandLineAPI) || {}) {
  <code goes here>
}

...所以网站重新定义 console._commandLineAPI 来抛出:

Object.defineProperty(console, '_commandLineAPI',
   { get : function() { throw 'Nooo!' } })

这是not quite enough (try it!) ，但这就是主要技巧。

---

结语:Chrome 团队认为从用户端 JS 击败控制台是一个错误，fixed the issue ，使该技术无效。之后，对 protect users from self-xss 增加了额外的保护。 .