浏览器扩展的权限模型与最小权限原则在安全开发中的重要性。 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

各位观众老爷们，晚上好！我是你们的老朋友，Bug终结者，代码界的段子手，今天咱们来聊聊浏览器扩展这玩意儿，还有它那磨人的小妖精——权限模型，以及安全开发中的“最小权限原则”。放心，保证让你们听得懂，还能乐呵乐呵。

一、浏览器扩展：又爱又恨的小助手

浏览器扩展，就像咱们手机里的App，能给浏览器加各种功能。你想拦截广告？装个AdBlock。想管理密码？装个LastPass。想划词翻译？装个划词翻译。方便是真方便，但安全问题也是真让人头疼。

为啥？因为扩展要干活，就得向浏览器申请权限，比如访问你的网页内容，修改你的网页，甚至读取你的浏览历史。如果扩展作者心怀不轨，或者代码写得不够严谨，你的隐私可能就泄露了，账户可能就被盗了。

二、权限模型：扩展的紧箍咒

浏览器扩展的权限模型，就像孙悟空头上的紧箍咒，限制着扩展能干啥，不能干啥。它定义了扩展可以访问的浏览器API和资源。

常见的权限包括：

activeTab: 允许扩展访问当前激活的标签页。
tabs: 允许扩展创建、修改、关闭标签页。
storage: 允许扩展存储数据，比如配置信息。
cookies: 允许扩展读取和修改cookies。
webRequest 和 webRequestBlocking: 允许扩展拦截和修改网络请求。
<all_urls>: 允许扩展访问所有网站。这玩意儿威力巨大，慎用！
scripting: 允许扩展在网页中注入脚本。
declarativeNetRequest: 允许扩展声明式地拦截和修改网络请求，性能更好，更安全。

举个例子，一个简单的扩展，在点击按钮后，把当前网页的标题显示在一个弹窗里，它的manifest.json文件可能是这样写的：

{
  "manifest_version": 3,
  "name": "Title Displayer",
  "version": "1.0",
  "description": "Displays the title of the current page in a popup.",
  "permissions": [
    "activeTab",
    "scripting"
  ],
  "action": {
    "default_popup": "popup.html",
    "default_title": "Click me!"
  },
  "background": {
    "service_worker": "background.js"
  }
}

这里用到了activeTab和scripting权限。 activeTab 允许扩展访问当前激活的标签页，scripting允许扩展注入代码获取网页标题。

对应的popup.html：

<!DOCTYPE html>
<html>
<head>
  <title>Title Displayer</title>
</head>
<body>
  <button id="getTitle">Get Title</button>
  <script src="popup.js"></script>
</body>
</html>

popup.js:

document.getElementById('getTitle').addEventListener('click', () => {
  chrome.scripting.executeScript({
    target: { tabId: chrome.tabs.getCurrent(function(tab) { return tab.id; }).id },
    function: () => {
      alert(document.title);
    }
  });
});

三、最小权限原则：安全开发的金科玉律

最小权限原则，英文名叫Principle of Least Privilege (PoLP)，意思就是：给扩展赋予完成任务所需的最小权限，绝不多给。 这就像给员工授权一样，能用钉子锤的，就别给人家一把AK47。

为啥要这样做？原因很简单：

降低风险: 如果扩展被黑了，或者代码有漏洞，攻击者能利用的权限越少，造成的损失就越小。
保护隐私: 避免扩展过度收集用户数据。
提高用户信任: 用户看到扩展只申请了必要的权限，会更放心使用。

四、如何实践最小权限原则？

仔细分析需求: 确定扩展需要哪些功能，哪些权限是必须的，哪些是可有可无的。
使用更细粒度的权限: 尽量避免使用<all_urls>这种高危权限。如果只需要访问特定网站，可以使用permissions中的"host_permissions": ["https://example.com/*"]。
按需申请权限: 某些权限可能只有在特定场景下才需要，可以动态申请，而不是一开始就全部申请。
使用declarativeNetRequest: 如果需要拦截和修改网络请求，优先使用declarativeNetRequest API，因为它比webRequest和webRequestBlocking更安全，性能更好。 declarativeNetRequest允许扩展声明式地定义规则，而不是编写JavaScript代码来处理每个请求。
定期审查权限: 随着扩展功能的更新，可能不再需要某些权限了，应该及时移除。

五、权限申请的正确姿势

不要申请不必要的权限: 这一点再怎么强调都不为过。
清晰地说明权限用途: 在扩展的描述中，详细说明每个权限的用途，让用户了解扩展为什么要申请这些权限。
只在必要时申请权限: 有些权限可以在用户执行特定操作时再申请，而不是一开始就全部申请。
处理权限被拒绝的情况: 如果用户拒绝了某个权限，扩展应该优雅地处理这种情况，而不是崩溃或者停止工作。

六、代码示例：权限使用的正确与错误示范

反面教材：滥用<all_urls>

{
  "manifest_version": 3,
  "name": "Evil Extension",
  "version": "1.0",
  "permissions": [
    "<all_urls>",
    "cookies",
    "storage"
  ],
  "background": {
    "service_worker": "background.js"
  }
}

这个扩展申请了<all_urls>权限，意味着它可以访问所有网站，读取所有cookies，存储任意数据。简直就是为所欲为，想干啥干啥。

正面教材：使用host_permissions

假设一个扩展只需要访问example.com和example.org这两个网站，那么应该这样写：

{
  "manifest_version": 3,
  "name": "Limited Extension",
  "version": "1.0",
  "permissions": [
    "storage"
  ],
  "host_permissions": [
    "https://example.com/*",
    "https://example.org/*"
  ],
  "background": {
    "service_worker": "background.js"
  }
}

这样就把扩展的访问范围限制在了指定的域名下，安全性大大提高。

七、 declarativeNetRequest 的妙用

假设我们要屏蔽所有example.com上的图片，可以使用declarativeNetRequest API。首先，在manifest.json中申请declarativeNetRequest权限：

{
  "manifest_version": 3,
  "name": "Block Images",
  "version": "1.0",
  "permissions": [
    "declarativeNetRequest"
  ],
  "declarative_net_request": {
    "rule_resources": [{
      "id": "ruleset_1",
      "path": "rules.json",
      "enabled": true
    }]
  },
  "background": {
    "service_worker": "background.js"
  }
}

然后，创建一个rules.json文件，定义屏蔽规则：

[
  {
    "id": 1,
    "priority": 1,
    "action": { "type": "block" },
    "condition": {
      "urlFilter": "*example.com/*.jpg",
      "resourceTypes": ["image"]
    }
  },
  {
    "id": 2,
    "priority": 1,
    "action": { "type": "block" },
    "condition": {
      "urlFilter": "*example.com/*.png",
      "resourceTypes": ["image"]
    }
  }
]

这个rules.json文件定义了两条规则，分别屏蔽example.com上的.jpg和.png图片。

与使用 webRequest API 相比，declarativeNetRequest 具有以下优势：

性能更好: 规则匹配在浏览器底层进行，不需要JavaScript代码参与，速度更快。
更安全: 不需要编写JavaScript代码来处理网络请求，避免了潜在的安全漏洞。
更容易维护: 规则定义清晰明了，更容易维护和更新。

八、用户隐私：重中之重

浏览器扩展可以访问用户的浏览历史、cookies、表单数据等敏感信息。因此，保护用户隐私是开发扩展的重中之重。

只收集必要的数据: 不要收集与扩展功能无关的数据。
对数据进行加密: 对敏感数据进行加密存储和传输。
尊重用户的选择: 允许用户控制扩展收集哪些数据，以及如何使用这些数据。
遵守隐私政策: 制定清晰的隐私政策，并严格遵守。

九、安全开发 checklist

项目	描述
最小权限原则	只申请完成任务所需的最小权限。
输入验证	对所有输入数据进行验证，防止XSS、SQL注入等攻击。
输出编码	对所有输出到网页的数据进行编码，防止XSS攻击。
跨站请求伪造 (CSRF) 防御	采取措施防止CSRF攻击，比如使用CSRF token。
内容安全策略 (CSP)	使用CSP限制网页可以加载的资源，防止恶意脚本注入。
定期安全审计	定期对扩展进行安全审计，发现并修复潜在的安全漏洞。
使用最新的API	使用浏览器提供的最新API，它们通常包含更好的安全特性。
第三方库的安全	检查第三方库是否存在安全漏洞，并及时更新。

十、总结

浏览器扩展的权限模型是保障用户安全的重要机制。作为开发者，我们应该严格遵守最小权限原则，只申请必要的权限，并采取各种安全措施，保护用户的隐私。

记住，安全开发不是一蹴而就的事情，而是一个持续不断的过程。只有时刻保持警惕，才能打造出安全可靠的浏览器扩展。

好了，今天的讲座就到这里。希望大家有所收获，写出安全、好用的扩展！散会！

发表回复 取消回复

发表回复取消回复