javascript - 使用 Chrome 扩展程序注入(inject) javascript 应该那么容易吗？

Question

作为安全测试的一部分，我构建了一个非常基本的 Chrome 扩展程序，目的是能够读取安全 cookie 以及 localStorage 数据。我设法让它工作，这本身就是一件非常糟糕的事情，但是，在构建时我使用了以下行:

chrome.tabs.executeScript(tabs[0].id, {code: '...'});

现在，从我的 understanding of this ，这行代码实际上允许您在页面上执行任何 javascript，前提是用户当然同意该权限。

有了这个，即使有 CSP header ，任何人都可以很容易地创建一个扩展来完成我上面所做的事情。

使用扩展程序将 Javascript 注入(inject)网页应该那么容易吗？当然不是!？

请记住，我的扩展程序在我的机器上以开发者模式运行，并没有将它发布到 Chrome 商店，但我 haven't seen anything关于被批准的扩展，只是它们被批准并立即生效。

如果设计有可能发生这种情况，是否有任何方法可以防止此类事情发生？是否有任何 CSP header 等可以帮助防止这种情况发生？

非常感谢大家

Answer 1

正如 Chirag Ranvindra 在评论中提到的:

browser extensions usually bypass all security features set on normal websites

Google 声明用户安装 Google Chrome 扩展程序时自行承担风险，大​​多数允许插件、插件、模组等的软件都是这种情况。

为了减少用户安装具有潜在风险的扩展的机会，我们向用户发出了一些警告，例如安装前请求的权限、“开发人员”扩展可能存在安全风险的提醒，以及作为一部分他们的条款和条件，可以并且确实会停用违反其扩展指南的扩展。

引用The Google Chrome Terms and Conditions ，特别是“20. Google Chrome 扩展程序的附加条款”。

与您下载的任何程序一样，您应该认真考虑是否有必要安装它，以及它是否来自信誉良好的开发商。我建议只通过 Official Google Chrome Extensions Webstore 安装扩展