javascript - 隐私 - 跟踪 Chrome 扩展程序的传出 AJAX 查询

Question

是否有任何可能的方法来跟踪 Chrome 扩展程序从网站发出的网络通信？

假设 Chrome“内容脚本”扩展程序将 AJAX 查询发送到指定 IP 上的服务器以创建自定义分析。当用户浏览各种网站时，此扩展程序在浏览器中运行。

这些网站是否有可能跟踪扩展程序的功能(打开 AJAX)或将数据发送到何处？ (它尝试向哪个 IP 发送 AJAX 查询)

更新

需要明确的是，我对独立第三方网站的跟踪能力感到好奇，而不是扩展程序用户的跟踪能力。

更新

更多说明:扩展程序正在向与用户正在浏览的服务器/网站无关的服务器发送请求。

示例

用户每天都会浏览 YouTube 和 Facebook。此扩展将 AJAX 查询发送到存储用户访问的 URL 的存储服务器。 (YouTube 和 Facebook)。我想知道的是，f.e. Facebook 知道这个扩展程序可以执行此操作，存储服务器的 IP 是多少？

Answer 1

基本上，不，因为 isolated world 的概念。强调我的:

Content scripts execute in a special environment called an isolated world. They have access to the DOM of the page they are injected into, but not to any JavaScript variables or functions created by the page. It looks to each content script as if there is no other JavaScript executing on the page it is running on. The same is true in reverse: JavaScript running on the page cannot call any functions or access any variables defined by content scripts.

因此，如果您正在考虑执行诸如重写 XMLHttpRequest 之类的操作，那么这是行不通的，因为内容脚本有一个您无法触及的“安全港”。

甚至在将网络操作委托(delegate)给后台脚本的可能性之前，这是一个完全不同的来源。

有一个异常(exception):扩展有时可以 inject code directly into the page context 。然后它与网站 JavaScript 共存，理论上一个人可以监视另一个人。然而，实际上，扩展程序可以在任何网站代码有机会使用react之前执行其代码，从而隐藏/屏蔽自身免受干扰。