在Chrome擴展中使用localStorage或chrome.storage的安全問題

Question

我正在構建一個需要保留用戶敏感數據的chrome擴展。 我知道你可以使用HTML5，但它很容易受到XSS以及其他形式的攻擊。我最近發現約chrome.storage，但文檔說：

機密的用戶信息不應該存儲！存儲區域 未加密。

現在我的問題是：

1. 是否有存儲在瀏覽器中敏感的用戶數據（即私有密鑰）的安全呢？

Answer 1

默認content security policy幾乎可以保護您免受XSS的影響，前提是您不會做任何非常愚蠢的事情。您可以使用某種庫來加密本地數據，並使用戶輸入密碼來解密數據。此時攻擊媒介更多的是圍繞計算機上的惡意軟件和其他具有物理訪問權的人。 Chrome擴展程序本身受到其他網站的保護。

但是，最終，無論您做什麼，計算機上安裝的任何設備或訪問計算機的任何設備都有可能訪問私人信息。我的建議是確保用戶知道存儲數據的敏感程度，以及他們需要在訪問計算機時保持適當的安全防範措施。