Firefox 扩展中的 Javascript 范围/安全问题

Question

我正在开发一个 FireFox 扩展程序，并且必须存储一些我需要安全且无法从任何其他扩展程序/页面等访问的值。

我正在使用我的扩展程序代码的设置，如下所示：

if(!namesp) var namesp={};
if(!namesp.anothernamesp) namesp.anothernamesp={};

namesp.anothernamesp = function() {
  var mySecureValue = ''; //is this variable accessible from anything aside from inside the namesp.anothernamesp scope?

  return {
    useSecureValue: function() {
    //do something here with mySecureValue
    }
  };

  function getSecureValue() { //can this method be called from anywhere besides inside the namesp.anothernamesp scope?
    return mySecureValue;
  }

}();

除了我的之外，还有其他方法吗自己的扩展可以访问“mySecureValue”吗？为了使我可能在扩展等中打开的任何窗口都可以全局访问此对象，我将对象传递给 window.openDialog() 方法中的窗口，并使用 window.arguments 从新创建的窗口访问它。谢谢。

Answer 1

看起来很正确。事实上，这是大多数教程和书籍教授的模拟私有方法和属性的方法。

Answer 2

不，您无法阻止一个扩展程序影响另一个扩展程序。

原因是：

• 扩展名是 Zip 存档文件重命名为 *.xpi 文件扩展名。
• 扩展程序使用 JavaScript 方言以纯文本文件形式编写，
• 任何其他扩展程序都可以随意打开和访问您的浏览器可以访问的任何文件。

如果其他扩展想要读取您的变量 mySecureValue，它可以通过以下方式实现：

• 访问您的扩展 *.xpi 文件（使用 nsIFile 从 profile/extensions 文件夹中读取它）
• 解压缩nsIZipReader
• 从源文件中读取变量 mySecureValue！

最不幸的原因是 Mozilla firefox 没有在扩展之间实现任何形式的正确分离。每个扩展都可以为每个人做任何事情。它甚至可以执行 shellcode 并造成仲裁其他损害。

您唯一可以尝试的就是混淆您的秘密数据。这虽然不能阻止攻击，但可能只会使攻击复杂化。