定义: 请从一开始就注意，通过“注入(inject)脚本”、“扩展代码”和“内容脚本”，我将使用对此 question 的第一个优秀答案中提供的定义。 .
假设:如果我直接在注入(inject)的脚本(在 web 区域)中处理 secret 信息，不如在 chrome://内容脚本和扩展区域中处理 secret 信息安全代码。因此，我应该使用消息传递将 secret 信息从 web 区域发送到 chrome://区域以供处理。
问题:我正在构建一个 Google Chrome 扩展程序，我需要在其中对从我注入(inject)的脚本派生的敏感用户数据运行一些操作。有问题的数据是 secret 的，我必须尽我所能确保在我对它进行操作之前，除了扩展程序的用户之外，任何人都看不到它。在可用于在注入(inject)脚本和扩展代码/内容脚本之间传递消息的 3 种技术(定义如下)中，哪种技术最适合此目的？
我对可用于在注入(inject)脚本和扩展代码/内容脚本之间传递数据的 3 种不同技术的理解:
对于注入(inject)脚本和扩展代码(例如后台页面)之间的消息传递，可以使用 chrome.runtime API .
对于注入(inject)脚本和内容脚本之间的消息传递，可以使用window.postMessage .
另一种在注入(inject)脚本和内容脚本 之间传递消息的方式是通过document.dispatchEvent(CustomEvent)。 .
我的理解是，方法 1. 不能用于注入(inject)脚本和内容脚本之间的消息传递，而方法 2. 和 3. 不能用于注入(inject)脚本和扩展代码之间的消息传递(除非消息被转发通过内容脚本到例如背景页面)。
最佳答案
虽然在您的后台页面/内容脚本中运行的代码被很好地隔离，但一旦您将脚本注入(inject)页面上下文 - 您就进入了狂野的西部。任何扩展程序和页面本身都可以访问该上下文，并且可以影响代码的执行方式。
例如，某些扩展程序可以覆盖 chrome.runtime.sendMessage 以发送消息并记录它。这需要认真考虑 - 可能您已经输了。
就是说，方法 1 比 2/3 更难破解 - 正如所解释的那样，攻击者扩展需要直接更改页面上下文才能进行干扰，而在 DOM 事件的情况下，它可以从安全性中监听它们它的内容脚本 - 事件被广播到所有内容脚本上下文。
假设地，您也可以为 channel 采用某种非对称加密 - 为注入(inject)的脚本提供加密 key ，并将解密 key 保存在特权区域中。这可以保护通信，如果这是唯一被拦截的东西，但在某些时候明文数据存在在全局上下文中 - 这可能足以让攻击者脚本提取(你必须假设，在注入(inject)脚本之前执行)。
关于javascript - 在注入(inject)脚本和 Google Chrome 扩展代码/内容脚本之间传递消息的最安全方式是什么？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/38309087/
类classAprivatedeffooputs:fooendpublicdefbarputs:barendprivatedefzimputs:zimendprotecteddefdibputs:dibendendA的实例a=A.new测试a.foorescueputs:faila.barrescueputs:faila.zimrescueputs:faila.dibrescueputs:faila.gazrescueputs:fail测试输出failbarfailfailfail.发送测试[:foo,:bar,:zim,:dib,:gaz].each{|m|a.send(m)resc
我有一个模型:classItem项目有一个属性“商店”基于存储的值，我希望Item对象对特定方法具有不同的行为。Rails中是否有针对此的通用设计模式？如果方法中没有大的if-else语句，这是如何干净利落地完成的？ 最佳答案 通常通过Single-TableInheritance. 关于ruby-on-rails-Rails-子类化模型的设计模式是什么？，我们在StackOverflow上找到一个类似的问题： https://stackoverflow.co
我正在寻找执行以下操作的正确语法(在Perl、Shell或Ruby中):#variabletoaccessthedatalinesappendedasafileEND_OF_SCRIPT_MARKERrawdatastartshereanditcontinues. 最佳答案 Perl用__DATA__做这个:#!/usr/bin/perlusestrict;usewarnings;while(){print;}__DATA__Texttoprintgoeshere 关于ruby-如何将脚
如何在buildr项目中使用Ruby？我在很多不同的项目中使用过Ruby、JRuby、Java和Clojure。我目前正在使用我的标准Ruby开发一个模拟应用程序，我想尝试使用Clojure后端(我确实喜欢功能代码)以及JRubygui和测试套件。我还可以看到在未来的不同项目中使用Scala作为后端。我想我要为我的项目尝试一下buildr(http://buildr.apache.org/)，但我注意到buildr似乎没有设置为在项目中使用JRuby代码本身!这看起来有点傻，因为该工具旨在统一通用的JVM语言并且是在ruby中构建的。除了将输出的jar包含在一个独特的、仅限ruby
我正在使用的第三方API的文档状态:"[O]urAPIonlyacceptspaddedBase64encodedstrings."什么是“填充的Base64编码字符串”以及如何在Ruby中生成它们。下面的代码是我第一次尝试创建转换为Base64的JSON格式数据。xa=Base64.encode64(a.to_json) 最佳答案 他们说的padding其实就是Base64本身的一部分。它是末尾的“=”和“==”。Base64将3个字节的数据包编码为4个编码字符。所以如果你的输入数据有长度n和n%3=1=>"=="末尾用于填充n%
我主要使用Ruby来执行此操作，但到目前为止我的攻击计划如下:使用gemsrdf、rdf-rdfa和rdf-microdata或mida来解析给定任何URI的数据。我认为最好映射到像schema.org这样的统一模式，例如使用这个yaml文件，它试图描述数据词汇表和opengraph到schema.org之间的转换:#SchemaXtoschema.orgconversion#data-vocabularyDV:name:namestreet-address:streetAddressregion:addressRegionlocality:addressLocalityphoto:i
在rails源中:https://github.com/rails/rails/blob/master/activesupport/lib/active_support/lazy_load_hooks.rb可以看到以下内容@load_hooks=Hash.new{|h,k|h[k]=[]}在IRB中，它只是初始化一个空哈希。和做有什么区别@load_hooks=Hash.new 最佳答案 查看rubydocumentationforHashnew→new_hashclicktotogglesourcenew(obj)→new_has
为什么4.1%2返回0.0999999999999996？但是4.2%2==0.2。 最佳答案 参见此处:WhatEveryProgrammerShouldKnowAboutFloating-PointArithmetic实数是无限的。计算机使用的位数有限(今天是32位、64位)。因此计算机进行的浮点运算不能代表所有的实数。0.1是这些数字之一。请注意，这不是与Ruby相关的问题，而是与所有编程语言相关的问题，因为它来自计算机表示实数的方式。 关于ruby-为什么4.1%2使用Ruby返
我构建了两个需要相互通信和发送文件的Rails应用程序。例如，一个Rails应用程序会发送请求以查看其他应用程序数据库中的表。然后另一个应用程序将呈现该表的json并将其发回。我还希望一个应用程序将存储在其公共(public)目录中的文本文件发送到另一个应用程序的公共(public)目录。我从来没有做过这样的事情，所以我什至不知道从哪里开始。任何帮助，将不胜感激。谢谢! 最佳答案 无论Rails是什么，几乎所有Web应用程序都有您的要求，大多数现代Web应用程序都需要相互通信。但是有一个小小的理解需要你坚持下去，网站不应直接访问彼此
它不等于主线程的binding，这个toplevel作用域是什么？此作用域与主线程中的binding有何不同？>ruby-e'putsTOPLEVEL_BINDING===binding'false 最佳答案 事实是，TOPLEVEL_BINDING始终引用Binding的预定义全局实例，而Kernel#binding创建的新实例>Binding每次封装当前执行上下文。在顶层，它们都包含相同的绑定(bind)，但它们不是同一个对象，您无法使用==或===测试它们的绑定(bind)相等性。putsTOPLEVEL_BINDINGput
