Czy skrypty użytkowników Chrome są oddzielone od globalnej przestrzeni nazw, na przykład skrypty Greasemonkey?

Question

Wiem, że skrypty Greasemonkey to automatycznie zapakowane w anonimowe funkcje. wyizolowane w pewien sposób, aby zapobiec konfliktowi ze skryptami na stronie.

Czy to samo dzieje się ze skryptami użytkowników Chrome?

Answer 1

Tak, skrypty Greasemonkey to normally wrapped in an anonymous function. I, Chrome userscripts apparently are too.

Ale, co ważniejsze, skrypty Greasemonkey są zwykle owinięty w XPCNativeWrapper piaskownicy, a Google Chrome konwertuje userscripts do rozszerzeń i they operate in an arena that Google calls an "isolated world" .

Dzięki temu nie trzeba owijać kodu skryptu w anonimowe funkcje ze względów bezpieczeństwa, są one już chronione.

Tylko uważaj, że:

1. Jeśli wstrzyknięcia kodu bezpośrednio na stronie (tworzenie <script> tag), a następnie, że kod może być postrzegane przez JS strony.
2. Jeśli użyjesz unsafeWindow, wtedy strona teoretycznie mogłaby śledzić ją i uzyskać nieznacznie podwyższone uprawnienia.

Ryzyko jest bardzo niskie i nie mogłem znaleźć żadnych udokumentowanych exploitów na wolności.

~~~
Dolna linia, skrypty są izolowane na różne stopnie w obu przeglądarkach. (I to nie tylko dzięki zapakowaniu w anonimowe funkcje.)

Greasemonkey ma a nice set of privileged features dostępne w przeglądarce Firefox. Chociaż usercripts w Chrome są znacznie bardziej ograniczone.

Jednak większość funkcji GM jest przywracana do Chrome przy użyciu Tampermonkey extension.

---

Na Greasemonkey version 1.0 (24 sierpnia 2012), przy czym Obszar izolowany jest sterowany przez the @grant directive. Jeśli skrypt działa z (lub domyślnie) jest @grant none, to piaskownica nie jest używana. Skrypt działa tylko w zakresie prywatnym, a normalne funkcje API nie będą działać.

Czy to nie brzmi dużo lepiej/przyjemniej niż jakaś paskudna piaskownica? (^_^)

.