Chrome 扩展忽略 XMLHttpRequest.withCredentials 字段

Question

我正在开发一个 Chrome 扩展程序，可以在各种站点上生成 XMLHttpRequest，但我注意到我的浏览器忽略了“withCredentials”字段。无论设置为 true 还是 false，响应总是相同的，并且包含通过浏览器的简单 url 导航请求的网页。

清单：

"background": {
    "scripts": ["jquery.min.js", "daemon.js"],
    "persistent": true
},
"permissions": [
    "<all_urls>"
]

daemon.js 内部：

var xhr = new XMLHttpRequest();
xhr.open("GET", 'http://stackoverflow.com/', true);
xhr.withCredentials = false;
xhr.onload = function(e) {
    $('body').html(xhr.responseText);
}
xhr.send();

尽管将 withCredentials 设置为 false，这将返回在某些 DOM 元素中加载我的用户名的 stackoverflow.com。我的问题是：

1. 这是按预期工作的行为吗？
2. 如果是，是否有解决方法？从扩展内部发出 http 请求但忽略 cookie 或其他会话信息？ （更新：忽略所有凭据信息，如客户端证书或 http 身份验证）

我正在使用最新的 (22.0.1229.79 m) Chrome。

Answer 1

您需要在 Chrome 扩展程序中将 API 端点列入白名单。示例：

{
  "name": "My extension",
  ...
  "host_permissions": [
    "https://stackoverflow.com/"
  ],
  ...
}

见Requesting cross-origin permissions

Answer 2

是的，这个 ^{（发送凭据的操作）} 是预期行为。 XMLHttpRequest level 2 specification #withCredentials 说（这是该部分的最后一行）：

withCredentials 属性在获取同源资源时无效。

显然，在具有足够权限（清单文件）的 Chrome 扩展程序上下文中运行的代码会导致属性的行为与请求来自同一来源一样。

我检查了从后台页面获取请求是否解决了任何问题，并得出结论认为它没有帮助。如果其他站点支持 CORS（通过标头），则解决方案是不在清单文件的 "permissions" 部分提及该站点。 this answer 中突出显示了所有其他选项。

如果没有一种方法令人满意，那么问题二的答案是“不，没有解决方法”。