是否允许从远程服务器向页面注入JavaScript文件？

Question

我正在为客户端开发Chrome扩展程序，希望我将远程JavaScript文件嵌入到特定页面中。

这是否允许？例如我知道在Firefox这样的扩展将不会被AMO批准。

如果允许，最好的方法是尽可能保证安全？ （已使用https否定中间人攻击）

感谢所有提前:)

Answer 1

这并不少见，一些扩展的做到这一点，所以我不希望你被拒绝，如果你很小心。然而，做不断的新的CSP（内容安全政策）的变化，这可能会在未来影响该功能的眼睛：https://mikewest.org/2011/10/secure-chrome-extensions-content-security-policy

截至目前，有几个方法可以做到这一点：

1 ）您可以在后台页面中使用XMLHttpRequest来下载代码，并且可以使用chrome.tabs.executeScript将其注入到网页中。

2）您可以从内容脚本执行相同的操作，因为内容脚本也可以使用跨域XMLHttpRequest。

3）您可以创建一个内容脚本，该脚本用指向外部脚本的“src”属性在页面中创建一个元素。

其他安全

为了使它尽可能的安全，HTTPS是关键。您可以通过实际编码或签署脚本来提供额外的安全级别。例如：

1）创建一个公钥/私钥对，该公钥包含在扩展中，私钥用于在脚本准备好时对其进行编码。

2）完成服务器端的脚本代码，然后用私钥对其进行编码。

3）在扩展端，下载脚本“文档”，然后用公钥解码。验证它是一个有效的脚本文件。

这样，您将只接受并执行您知道由私钥所有者签名的脚本。