能否保護 web 應用程序免受瀏覽器擴展的影響？

Question

似乎有大量瀏覽器擴展表現出惡意行為。 此外，即使是有效的擴展也可能會受到安全漏洞的影響，從而使其表現出惡意。

避免此問題的一種方法是使用諸如 NWJS、Electron 或類似平台的 web 應用程序 package。 這具有消除擴展生態系統的優勢，但也存在許多缺點（安裝過程、更多的資源消耗、增加的勞動力等）。

有人辯稱，“最終用戶受到損害是用戶的責任，而不是網站的錯”。 雖然這是一個很好的觀點，但我們這些負責管理敏感數據的軟件的人仍然有責任保護。

在編寫將訪問敏感數據的 web 應用程序時，是否可以采取任何措施來防止瀏覽器擴展？

---

編輯：這個問題的任何創造性解決方案都會很棒。 或者，也歡迎確認的否定。 從這個問題延伸出來的一些想法：

• window object 是否可以受到保護或以某種方式設為私有？
• 在可用於 web 應用程序優勢的頁面之前加載的擴展 JavaScript 是否有任何限制？
• 伴隨擴展是否可以檢測到其他擴展，然后與 web 應用程序進行通信，表明運行不安全？ 或者至少通知用戶濫用的可能性？
• 擴展后台腳本是否也注入到 iframe 和子 windows 通過調用 window.open 創建？ Perhaps the web application would replace the window object with different safe copy of a window object.
• 是否有一些聰明的方法來檢測頁面上是否運行了第三方代碼？ JavaScript 環境的一種“哈希”？

Answer 1

有一個（原始）解決方案可以檢測瀏覽器上安裝的用戶擴展，從那里我猜您可以拒絕訪問您的 web 應用程序，直到用戶卸載這些擴展。 它包含在一個小型資產（圖標）數據庫中，如果 javascript 可以找到這些資產，則表示已安裝擴展。

缺點：您無法檢測擴展程序是否正在運行，因此如果用戶禁用它們將不會被檢測到，您仍然會得到肯定的結果。

代碼在這個鏈接中：

網站能否檢測到正在使用哪些瀏覽器擴展？

發布用戶為該數據庫提供更多資產的信息：

https://blog.jeremiahgrossman.com/2006/08/i-know-what-youve-got-firefox.html