ຊຸດເຄື່ອງມືກວດຫາສ່ວນເສີມທີ່ຕິດຕັ້ງຢູ່ໃນ Chrome ໄດ້ຖືກເຜີຍແຜ່ແລ້ວ

ຊຸດເຄື່ອງມືໄດ້ຖືກເຜີຍແຜ່ທີ່ປະຕິບັດວິທີການກວດສອບ add-ons ທີ່ຕິດຕັ້ງຢູ່ໃນຕົວທ່ອງເວັບ Chrome. ບັນຊີລາຍຊື່ຜົນໄດ້ຮັບຂອງ add-ons ສາມາດຖືກນໍາໃຊ້ເພື່ອເພີ່ມຄວາມຖືກຕ້ອງຂອງການກໍານົດຕົວຕັ້ງຕົວຕີຂອງຕົວທ່ອງເວັບສະເພາະ, ປະສົມປະສານກັບຕົວຊີ້ວັດທາງອ້ອມອື່ນໆ, ເຊັ່ນ: ຄວາມລະອຽດຫນ້າຈໍ, ຄຸນສົມບັດ WebGL, ບັນຊີລາຍຊື່ຂອງ plugins ທີ່ຕິດຕັ້ງແລະຕົວອັກສອນ. ການປະຕິບັດທີ່ສະເຫນີຈະກວດສອບການຕິດຕັ້ງຫຼາຍກວ່າ 1000 add-ons. ການສາທິດອອນໄລນ໌ໄດ້ຖືກສະເຫນີເພື່ອທົດສອບລະບົບຂອງທ່ານ.

ຄໍານິຍາມຂອງ add-ons ແມ່ນເຮັດໄດ້ໂດຍຜ່ານການວິເຄາະຊັບພະຍາກອນທີ່ສະຫນອງໂດຍ add-ons, ທີ່ມີຢູ່ສໍາລັບການຮ້ອງຂໍພາຍນອກ. ໂດຍປົກກະຕິ, add-ons ປະກອບມີໄຟລ໌ທີ່ມາພ້ອມກັບຕ່າງໆ, ເຊັ່ນ: ຮູບພາບ, ເຊິ່ງຖືກກໍານົດໄວ້ໃນ add-on manifest ໂດຍຄຸນສົມບັດ web_accessible_resources. ໃນສະບັບທໍາອິດຂອງ Chrome manifest, ການເຂົ້າເຖິງຊັບພະຍາກອນບໍ່ໄດ້ຖືກຈໍາກັດແລະເວັບໄຊທ໌ໃດກໍ່ຕາມສາມາດດາວໂຫລດຊັບພະຍາກອນທີ່ສະຫນອງໃຫ້. ໃນສະບັບທີສອງຂອງ manifest, ການເຂົ້າເຖິງຊັບພະຍາກອນດັ່ງກ່າວໂດຍຄ່າເລີ່ມຕົ້ນແມ່ນອະນຸຍາດໃຫ້ພຽງແຕ່ສໍາລັບ add-on ຕົວມັນເອງ. ໃນສະບັບທີສາມຂອງ manifesto, ມັນເປັນໄປໄດ້ທີ່ຈະກໍານົດວ່າຊັບພະຍາກອນໃດສາມາດຖືກມອບໃຫ້ກັບ add-ons, ໂດເມນແລະຫນ້າໃດ.

ຫນ້າເວັບສາມາດຮ້ອງຂໍຊັບພະຍາກອນທີ່ສະຫນອງໂດຍສ່ວນຂະຫຍາຍໂດຍໃຊ້ວິທີການ fetch (ຕົວຢ່າງ, "fetch('chrome-extension://okb....nd5/test.png')"), ເຊິ່ງການກັບຄືນ "false" ມັກຈະຊີ້ບອກ. ວ່າ add-on ບໍ່ໄດ້ຕິດຕັ້ງ. ເພື່ອສະກັດ add-on ຈາກການກວດສອບການປະກົດຕົວຂອງຊັບພະຍາກອນ, ບາງ add-ons ສ້າງ token ຢືນຢັນທີ່ຈໍາເປັນເພື່ອເຂົ້າເຖິງຊັບພະຍາກອນ. ການໂທຫາການດຶງຂໍ້ມູນໂດຍບໍ່ລະບຸໂທເຄັນຈະລົ້ມເຫລວສະເໝີ.

ຍ້ອນວ່າມັນຫັນອອກ, ການປົກປ້ອງການເຂົ້າເຖິງຊັບພະຍາກອນ add-on ສາມາດ bypassed ໄດ້ໂດຍການປະມານເວລາການປະຕິບັດຂອງການດໍາເນີນງານ. ເຖິງວ່າຈະມີຄວາມຈິງທີ່ວ່າ fetch ສະເຫມີສົ່ງຄືນຂໍ້ຜິດພາດໃນເວລາທີ່ຮ້ອງຂໍໂດຍບໍ່ມີ token, ເວລາການປະຕິບັດຂອງການດໍາເນີນງານທີ່ມີແລະບໍ່ມີ add-on ແມ່ນແຕກຕ່າງກັນ - ຖ້າ add-on ມີ, ການຮ້ອງຂໍຈະໃຊ້ເວລາດົນກວ່າຖ້າ add-on. ບໍ່ໄດ້ຕິດຕັ້ງ. ໂດຍການປະເມີນເວລາຕິກິຣິຍາ, ທ່ານຂ້ອນຂ້າງສາມາດກໍານົດການມີຂອງອາຫານເສີມໄດ້ຢ່າງຖືກຕ້ອງ.

ບາງສ່ວນເສີມທີ່ບໍ່ລວມເອົາຊັບພະຍາກອນທີ່ສາມາດເຂົ້າເຖິງໄດ້ຈາກພາຍນອກສາມາດຖືກກໍານົດໂດຍຄຸນສົມບັດເພີ່ມເຕີມ. ຕົວຢ່າງ, Add-on MetaMask ສາມາດຖືກກໍານົດໂດຍການປະເມີນຄໍານິຍາມຂອງຄຸນສົມບັດ window.ethereum (ຖ້າ add-on ບໍ່ໄດ້ຕັ້ງຄ່າ, "typeof window.ethereum" ຈະສົ່ງຄືນຄ່າ "undefined").

ແຫຼ່ງຂໍ້ມູນ: opennet.ru