Shortkeys浏览器插件中JavaScript执行的安全策略问题解析
项目地址: https://gitcode.com/gh_mirrors/sh/shortkeys 背景介绍
Shortkeys是一款流行的浏览器快捷键扩展工具，它允许用户自定义快捷键来执行各种操作，包括运行自定义JavaScript代码。然而，随着现代浏览器安全策略的日益严格，Shortkeys在执行内联JavaScript时遇到了内容安全策略(CSP)的限制。
问题本质
现代浏览器实施了严格的内容安全策略(CSP)，旨在防止跨站脚本攻击(XSS)。当Shortkeys尝试在受CSP保护的页面(如Dropbox、Gmail等)执行内联JavaScript时，会遇到如下错误：
Refused to execute inline script because it violates the following Content Security Policy directive...
这种错误表明目标页面设置了严格的CSP规则，禁止执行未经授权来源的内联脚本。具体来说，页面可能要求所有内联脚本必须满足以下条件之一：
- 使用'unsafe-inline'关键字明确允许
- 提供匹配的SHA-256哈希值
- 使用正确的nonce值
技术挑战
Shortkeys原有的实现方式是通过动态创建<script>标签或使用eval()来执行用户自定义的JavaScript代码。这两种方式都会触发CSP限制，因为：
- 动态创建的
<script>标签被视为内联脚本 eval()函数被大多数CSP策略明确禁止(通过'script-src'指令中的'unsafe-eval'限制)
此外，最新版本的Chrome还引入了Trusted Types API，进一步限制了直接操作DOM元素的innerHTML/textContent属性，导致出现如下错误：
Uncaught TypeError: Failed to set the 'textContent' property on 'Node': This document requires 'TrustedScript' assignment.
解决方案探索
针对这一问题，技术社区提出了几种潜在的解决方案：
1. 使用userScripts API
Chrome扩展提供了userScripts API，允许扩展在隔离的世界(isolated world)中运行脚本。这种方法的关键优势在于：
- 用户脚本不受页面CSP的限制
- 可以在主隔离世界(main isolated world)而非用户脚本隔离世界执行代码
- 避免了直接使用eval()或注入
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
