javascript - 如何避免 Chrome 扩展中的 "fake"AJAX 请求

Question

我正在编写一个小型 Chrome 扩展程序，我的问题主要与算法有关。假设我的扩展应该向我的服务器发送一些 AJAX 请求。有什么方法可以确保这个特定的 AJAX 请求完全是从我的扩展程序收到的吗？我的意思是，确保这不是用户通过伪造请求发送的。如果有任何想法，我将不胜感激。

Answer 1

您需要检查服务器上的请求来源，其中必须包含您的扩展程序 ID。当您从扩展程序发送 AJAX 请求时，Origin 参数将如下所示

chrome-extension://<extension_id> 

现在在服务器上您需要检查此来源。 PHP 中的示例

$extensionID = "YOUR_EXTENSION_ID";
$origin = $_SERVER['HTTP_ORIGIN'];
if (strpos($origin, $extensionID) === false) {
// exit from code 
 exit();
}

这里已完成anwser如何从请求中查找来源。现在，您的服务器将仅接收来自您的扩展的 AJAX 请求。如果有人复制您的代码并从另一个扩展程序运行，您的服务器将不会处理该请求。

请注意，这将保护您免遭来自其他扩展程序的伪造请求。用户仍然可以打开您的扩展后台页面并从控制台发送 AJAX 请求。