javascript - 防止浏览器扩展注入(inject) Javascript 代码

Question

浏览器允许扩展程序注入(inject)代码、操作 DOM 等。

多年来，我注意到我正在观看的网站(应用程序)上有许多 Uncaught Error (使用 window.onerror)，这些错误是由 Firefox、Chrome 和 Internet Explorer(所有版本)上的未知浏览器扩展程序生成的。

这些错误似乎并没有中断任何事情。现在我想增加这个网站的安全性，因为它会开始处理信用卡。我亲眼看到恶意软件/ spy 软件通过修改后的浏览器扩展(无辜的浏览器扩展，修改为向攻击者/脚本小子报告)感染浏览器作为键盘记录器(使用简单的 onkey* 事件处理程序，或只是 input.value 检查)。

有没有办法(元标记等)通知浏览器禁止代码注入(inject)或读取标准或非标准的 DOM？网页已经是 SSL，但这不是这似乎无关紧要(如提示浏览器激活更严格的扩展安全性)。

.

可能的变通办法(相对于简单的元标记而言有点牵强)由其他人建议或超出我的想象:

• 用于输入数字的虚拟键盘 + 非文本输入(又名 img 数字)
• 使用 Flash 的远程桌面(有人建议使用 HTML5，但这并不能解决监听键盘事件的浏览器扩展；只有 Flash、Java 等可以)。
• 非常复杂的基于 Javascript 的保护(删除非白名单事件监听器、内存输入值以及受实际星号字符保护的输入等)(不可行，除非它已经存在)
• 具有防病毒功能或可以以某种方式保护特定网页的浏览器扩展(这是不可行的，甚至可能在不产生大量问题的情况下实现)

编辑:谷歌浏览器在隐身模式下禁用扩展程序，但是，没有标准的方法来检测或自动启用隐身模式，因此必须显示永久警告。

Answer 1

能够禁用某人的浏览器扩展通常意味着接管浏览器。我不认为这是可能的。这将是一个巨大的安全风险。您的目的可能是合法的，但请考虑网站管理员以编程方式为用户禁用 addblockers 以使他们查看广告的场景。

最后，用户有责任确保他们在进行网上银行交易时拥有干净的操作系统。用户受到损害不是网站的错

更新我们应该把事情结束。像这样的东西:

<meta name="disable-extension-feature" content="read-dom" />

或

<script type="text/javascript">
    Browser.MakeExtension.MallwareLogger.to.not.read.that.user.types(true);
</script>

不存在，我相信在不久的将来也不会实现。使用任何必要的方式来最好地使用当前最新的现有技术，并尽可能安全地设计您的应用程序。不要浪费你的精力去覆盖那些一开始就不应该通过互联网支付的用户