security - 如果服务器上启用了内容安全策略，如何使用小书签将脚本注入(inject)页面？

Question

我有一个书签，它使用 jQuery 并解析页面上的一些元素。为了使用 jQuery，我动态创建一个脚本标签(使用 src 作为 jQuery URL)并附加到 head 标签。这对于许多网站都很有效。但是，像 Facebook 这样的网站很少，bookmarklet 无法将外部 JS 文件注入(inject) dom。我发现这种行为是由于响应 header “内容安全策略” 禁止包含来自任何其他未经授权的域的脚本。这是为了禁止 XSS 攻击。

我有一个真实的案例，可以将外部 JS 文件插入到 DOM 中。是否有任何解决方法可以绕过内容安全策略？

Answer 1

规范说(至少我认为现在仍然如此)CSP 不应阻止小书签，但没有浏览器实现了这一点。您唯一的选择是在浏览器中禁用 CSP 或使用扩展程序。