如何火狐的插件正在訪問該文件系統正

Question

火狐不會允許的JavaScript保存在客戶機中的文件瀏覽器安全策略

https://addons.mozilla.org/en-US/firefox/addon/1046

上述連接插件可以保存文件，那麼爲什麼我們不能使用JavaScript是一個擴展的用戶明確選擇要安裝的部分信任比代碼更頁面的用戶恰好訪問運行

Answer 1

代碼將文件保存在文件系統中。因此，Firefox允許擴展代碼使用此功能（訪問文件系統），但不允許在網頁中運行代碼來執行此操作。

這是有道理的：攻擊者更容易讓用戶意外訪問他的惡意頁面並運行它的javascript（例如，使用隱形iframe），而不是攻擊者讓用戶安裝惡意擴展。另外，Mozilla代碼會檢查其網站上的每個擴展程序，以確保它們不是惡意的。

我還應該注意到擴展名不一定要用Javascript編寫。它們中的很多是用本地代碼編寫的（通常是C++），並且其他語言也有XPCOM（瀏覽器的擴展方式之一）綁定（例如Python）。

Answer 2

Javascript是從您訪問的網頁執行的;一般來說，你不能相信你訪問的每一個網頁 - 這就是爲什麼有這樣的安全措施。

對於擴展，而另一方面：

• 您決定哪個分機可在系統上運行的權利，因爲你是一個安裝它們
  • 和安裝一個擴展意味着你信任它。
• 被測試/被球隊AMO 的審查（糾正我，如果我錯了？）

Answer 3

附加組件不受安全限制，因爲用戶顯式安裝他們（例如，表示的信任）。有關詳細信息，請參閱extensions documentation。這與在用戶沒有表示信任的網頁上運行的JavaScript截然不同。