Mozilla ha pubblicato un piano per implementare in Firefox la terza versione del manifesto di Chrome, che definisce le capacità e le risorse offerte alle estensioni. La terza versione del manifesto ha suscitato critiche per il malfunzionamento di molte estensioni per il blocco dei contenuti indesiderati e la sicurezza.
In Firefox si prevede di implementare quasi tutte le funzionalità e le limitazioni del nuovo manifesto, incluso l'API dichiarativo per il filtraggio dei contenuti (declarativeNetRequest), ma a differenza di Chrome, in Firefox non verrà interrotta la supporto della modalità bloccante dell'API webRequest, almeno fino a quando il nuovo API non soddisferà pienamente le esigenze degli sviluppatori di estensioni che utilizzano l'API webRequest. Questo approccio garantirà la compatibilità con le estensioni di Chrome senza compromettere la compatibilità con quelle legate all'API webRequest.
Ricordiamo che il principale malcontento riguardo al nuovo manifesto è legato alla trasformazione dell'API webRequest in una modalità di sola lettura, che permetteva di connettere i propri handler, dotati di accesso completo alle richieste di rete e capaci di modificare il traffico al volo. L'API in questione è utilizzata in uBlock Origin e in molti altri addon per bloccare contenuti indesiderati e garantire la sicurezza. Al posto dell'API webRequest è stato proposto un API declarativeNetRequest, limitato nelle sue funzionalità, che fornisce accesso a un motore interno per il filtraggio, gestendo autonomamente le regole di blocco, senza consentire l'uso di propri algoritmi di filtraggio e senza permettere di impostare regole complesse che si sovrappongono a seconda delle condizioni.
In Firefox, il supporto per la terza versione del manifesto di Chrome è previsto per test nel fine 2021, con l'implementazione del nuovo manifesto fissata per l'inizio del 2022. Tra le peculiarità dell'implementazione del nuovo manifesto in Firefox si segnalano:
- Fornitura dell'API declarativeNetRequest, ma mantenendo la possibilità di utilizzare il vecchio API webRequest.
- La gestione delle richieste Cross-origin sarà modificata: secondo il nuovo manifesto, le stesse restrizioni sui permessi si applicheranno agli script di elaborazione dei contenuti come per la pagina principale in cui tali script vengono incorporati (ad esempio, se la pagina non ha accesso all'API di geolocalizzazione, neppure lo script di estensione avrà accesso). Alcune modifiche relative alle restrizioni delle richieste cross-origin sono già disponibili per il testing nelle versioni notturne di Firefox (in sviluppo come parte del progetto Fission, che può essere attivato in about:preferences#experimental) e si prevede una piena implementazione nel terzo trimestre del 2021.
- Le pagine in background saranno sostituite da Service workers, operanti come processi in background. Questa modifica non è ancora pronta per i test.
- API basati su Promise. Firefox supporta già questo tipo di API nello spazio dei nomi "browser.*" e per la terza versione del manifesto verrà trasferito nello spazio dei nomi "chrome.*".
- Il nuovo modello di richiesta di autorizzazioni granulare - l'estensione non potrà essere attivata immediatamente per tutte le pagine (rimossa l'autorizzazione «all_urls»), ma funzionerà solo nel contesto della scheda attiva, ovvero l'utente dovrà confermare il funzionamento dell'estensione per ogni sito. Mozilla sta lavorando per rafforzare il controllo degli accessi, ma intende fornire agli utenti la possibilità di decidere autonomamente se consentire o meno alle estensioni di operare in diverse schede.
- Divieto di eseguire codice caricato da fonti esterne. server (si tratta di situazioni in cui l'estensione carica ed esegue codice esterno). In Firefox è già in uso il blocco del codice esterno e gli sviluppatori di Mozilla sono pronti ad aggiungere tecniche di tracciamento aggiuntive per i download di codice, come proposto nella terza versione del manifesto. Per gli script di elaborazione dei contenuti sarà presentata una politica separata di restrizione degli accessi ai contenuti (CSP, Content Security Policy), e le API esistenti userScripts e contentScripts saranno riprogettate per supportare estensioni basate su Service worker.
Fonte: opennet.ru
