javascript bookmarklet 与其他脚本隔离吗？

Question

使用 DOM，我可以编写一个脚本来读取（并可能分配给变量）当前页面中其他脚本的代码，不是吗？

是否可以对小书签做同样的事情？也就是说，当前网页中的内联或外部脚本是否可以读取（并可能分配给变量）加载页面后执行的小书签的源代码，或者访问此类小书签的任何变量和/或属性？

Answer 1

你尝试过看看会发生什么吗？看起来很容易制作一个测试页。答案是肯定的，它可以更改值，它不像代码在沙箱中运行。

Answer 2

为什么，不！它们根本不是，这就是小书签如此强大的原因。 Bookmarklet 只是在全局范围内执行的 javascript: URL，并且可以完全控制当前 window

让我们劫持 window.open() 方法，例如：

javascript:(function(){var wo=window.open;window.open=function(){if(confirm('All your window.open are belong to us!'))return wo.apply(window, arguments)}})()

因此，以下弹出窗口位于我们的现在完全控制：

javascript:with(window.open()){document.open('text/plain');document.write('HAI!');document.close()}