当吾辈遇上 Firefox 中 9 年的陈年老 Bug
2025年2月16日 20:31
背景
最近开发一个跨浏览器的扩展时，由于需要在 Content Script 中请求远端服务 API，在 Chrome 中没有遇到任何问题，但在 Firefox 中，它会在 Content Script 上应用网站的 CSP 规则。不幸的是，一些网站禁止在 Script 中请求它们不知道的 API 端点。
首先，这里出现了一个关键名词：CSP，又叫内容安全策略，主要是用来解决 XSS 的。基本上，它允许网站所有者通过服务端响应 Content-Security-Policy Header 来控制网站页面可以请求的 API 端点。例如下面这个规则仅允许请求 https://onlinebanking.jumbobank.com，其他 API 端点的请求都将被浏览器拒绝。
1... |