javascript - Web 应用程序可以针对浏览器扩展进行保护吗？

Question

似乎有大量浏览器扩展表现出恶意行为。此外，即使是有效的扩展也可能存在安全漏洞，从而导致其恶意行为。

避免此问题的一种方法是将您的 Web 应用程序打包到 NWJS、Electron 或类似平台上。这样做的优点是消除了扩展生态系统，但也存在一些缺点(安装过程、更多的资源消耗、增加的劳动力等等)。

有些人认为“用户受到损害最终是用户的责任，而不是网站的错”。虽然这是一个很好的观点，但我们这些负责管理敏感数据的软件的人仍然有责任保护。

在编写将访问敏感数据的 Web 应用程序时，是否可以采取任何措施来防范浏览器扩展？

<小时/>

编辑:任何针对此问题的创造性解决方案都会很棒。或者，也欢迎确认阴性。从这个问题延伸出来的一些想法:

• 可以保护窗口对象或以某种方式将其设为私有(private)吗？
• 在页面之前加载的扩展程序 JavaScript 是否有任何限制，可以为网络应用程序带来优势？
• 配套扩展程序可以检测其他扩展程序，然后通知网络应用程序运行不安全吗？或者至少告知用户可能存在滥用行为？
• 扩展后台脚本是否也注入(inject)到通过调用 window.open 创建的 iframe 和子窗口中？也许网络应用程序会用窗口对象的不同安全副本替换窗口对象。
• 是否有一些巧妙的方法来检测页面上是否运行了第三方代码？ JavaScript 环境的某种“哈希”？

Answer 1

有一个(原始)解决方案可以检测浏览器上安装的用户扩展，从那里我想您可以拒绝对您的网络应用程序的访问，直到用户卸载这些扩展。它包含一个小型 Assets (图标)数据库，如果 javascript 可以找到这些 Assets ，则意味着扩展已安装。

缺点:您无法检测扩展程序是否正在运行，因此，如果用户禁用它们，则不会被检测到，您仍然会得到肯定的结果。

代码在此链接中:

Can a Website detect what browser extensions are being used?

与用户一起向该数据库提供更多 Assets 的帖子:

https://blog.jeremiahgrossman.com/2006/08/i-know-what-youve-got-firefox.html