javascript - 如何从插件/扩展中隐藏/保护客户端 JavaScript 中的 session /加密 key

Question

这不是网络应用程序是否可以安全使用的问题!!

但是，如果我有一个 session 或加密 key ，并且希望使用 JavaScript 在客户端尽可能隐藏它 - 最好的方法是什么？

我一直想使用 sessionStorage，直到我发现任何扩展程序至少可以在 Chrome 中从内容脚本中读取此内容。在我看来，这是开发人员犯的一个大错误，因为他们从扩展中隐藏了网页 javascript，但允许它查看网络存储。到处都说扩展只能看到 DOM，但我不认为大多数人认为这也包括网络存储!

那么如何保护 session key ，使其远离扩展程序呢？无法加密它，因为我只需要隐藏 key 。问题是 session 必须对网站的所有页面都有效，所以我不能只将其保留在 javascript 中，因为它会在每次页面加载时刷新。

在我看来，cookie 也同样糟糕!

注意:不知道其他浏览器是否也有这个问题

Answer 1

获得访问您页面权限的扩展程序可以执行任何操作。

作为 <script> 注入(inject)的代码从内容脚本到 DOM 的标记将在页面上下文中执行无论您的 CSP，都将完全访问您的 JS 上下文。

更不用说chrome.debugger API。

所以不，您无法保护您的客户端数据免受用户同意在您的页面上运行的扩展程序的影响，就像您无法保护您的数据免受浏览器本身的影响一样。