Chrome 扩展程序安全性答案

【问题标题】：Chrome extension securityChrome 扩展程序安全性
【发布时间】：2014-04-10 07:54:57
【问题描述】：

我正在开发一个基于 GWT 的客户端服务器 Web 应用程序。

应用程序在 IIS 上安装一个网站。客户端首次浏览网站时，需要运行本地安装，即在客户端计算机上安装本地进程和 NPAPI 插件。

客户端运行在IE、Chrome、Firefox等浏览器中，并使用 NPAPI 插件向本地进程发送消息。本地进程用于访问文件系统、注册表等。

为了防止其他网站使用NPAPI插件，当用户第一次登录时，服务器会向他发送一个字符串的哈希值，其中包含站点的 URL + 一些其他数据。 NPAPI 插件可以访问浏览器的当前 URL，也可以创建相同的哈希值并比较两者。

由于 Chrome 即将结束对 NPAPI 插件的支持，我正在尝试用 Chrome 扩展程序和本机消息传递主机替换该插件。扩展不能限制在某个域，因为它可以从许多域中使用。

我正在尝试找出一种方法来阻止其他网站使用该扩展程序向本机主机发送消息，但找不到方法。有谁知道我如何做到这一点？

任何建议将不胜感激，谢谢。

【问题讨论】：

【解决方案1】：

您是否考虑过将扩展程序限制在特定域中，然后让其他域 iframe 该域并通过postMessage 进行通信？您可以在 iframe 的 JS 中有一个域白名单，并根据该列表验证消息来源。

【讨论】：

感谢您的回复。这是一个很好的建议。我之前没有提到它，但许多安装仅在 Intranet 上，并且无法访问我的域。我还想避免维护白名单，因为目前有很多安装（有些我不知道他们的域），我也不希望新安装等到他们的域被添加到列表中。