能否保护 web 应用程序免受浏览器扩展的影响？

Question

似乎有大量浏览器扩展表现出恶意行为。 此外，即使是有效的扩展也可能会受到安全漏洞的影响，从而使其表现出恶意。

避免此问题的一种方法是使用诸如 NWJS、Electron 或类似平台的 web 应用程序 package。 这具有消除扩展生态系统的优势，但也存在许多缺点（安装过程、更多的资源消耗、增加的劳动力等）。

有人辩称，“最终用户受到损害是用户的责任，而不是网站的错”。 虽然这是一个很好的观点，但我们这些负责管理敏感数据的软件的人仍然有责任保护。

在编写将访问敏感数据的 web 应用程序时，是否可以采取任何措施来防止浏览器扩展？

---

编辑：这个问题的任何创造性解决方案都会很棒。 或者，也欢迎确认的否定。 从这个问题延伸出来的一些想法：

• window object 是否可以受到保护或以某种方式设为私有？
• 在可用于 web 应用程序优势的页面之前加载的扩展 JavaScript 是否有任何限制？
• 伴随扩展是否可以检测到其他扩展，然后与 web 应用程序进行通信，表明运行不安全？ 或者至少通知用户滥用的可能性？
• 扩展后台脚本是否也注入到 iframe 和子 windows 通过调用 window.open 创建？ Perhaps the web application would replace the window object with different safe copy of a window object.
• 是否有一些聪明的方法来检测页面上是否运行了第三方代码？ JavaScript 环境的一种“哈希”？

Answer 1

有一个（原始）解决方案可以检测浏览器上安装的用户扩展，从那里我猜您可以拒绝访问您的 web 应用程序，直到用户卸载这些扩展。 它包含在一个小型资产（图标）数据库中，如果 javascript 可以找到这些资产，则表示已安装扩展。

缺点：您无法检测扩展程序是否正在运行，因此如果用户禁用它们将不会被检测到，您仍然会得到肯定的结果。

代码在这个链接中：

网站能否检测到正在使用哪些浏览器扩展？

发布用户为该数据库提供更多资产的信息：

https://blog.jeremiahgrossman.com/2006/08/i-know-what-youve-got-firefox.html