同源策略如何應用於瀏覽器擴展？

Question

由於瀏覽器擴展將信息從一個網頁發送到完全不同的服務器，這是否違反了同一個源策略？

Answer 1

同源策略（SOP）適用於普通網頁，不適用於瀏覽器擴展，即使它們是用JavaScript編寫的。當擴展代碼不是從服務器發出時，「不同服務器」是什麼意思？ （擴展腳本可能有某種orgin，如chrome-extension://longhashidentificationstr，但不是傳統的域/來源。）要與任何網頁（除具有CORS headers的網頁）通信，擴展名不能由SOP綁定。

擴展並不完全「違反」SOP;相反，SOP 不適用於。 SOP旨在限制受損或惡意網頁可能導致的損害。查看網頁應在頁面中需要零信任，因爲訪問網頁非常簡單。但是，安裝擴展程序是用戶不太經常做的事情，對用戶的影響更大，因此要求對擴展程序有一定的信任並不是不合理的。