金山网络张志和 CHROME扩展.pptx

1、,CHROME扩展开发揭秘,金山网络 张志和,CHROME扩展历史,Aaron Boodman/Greasemoney,设计思想,/Pubs/TechRpts/2009/EECS-2009-185.pdf 最小权限（Least Privilege) 权限分割（ Privilege Separation） 强隔离（ Strong Isolation）,安全性,FireFox Extension安全性问题,跨站脚本Cross-Site Scripting eval document.write() evalInSandbox 替换Native

2、APIs JavaScript Capability Leaks 每个网页可以使用XMLHttpRequest 内容混合（HTTP和HTTPS）,CHROME Extension,最小权限分级 执行任意代码 访问网站 扩展API,API 分类,权限分割,Content Script 利用标准DOM API 给扩展进程发送JSON消息 Extension Core Native Binary NPAPI Library,Isolated Mechanism,Origin Run the extension core in a unique origin designated by a publi

3、c key Process Isolation Cross origin JS capability leaks Isolated Worlds Content script accesses the DOM with its “own” JS object,Content Script 和页面JS的隔离,CHROME Extension架构,Background页面,CHROME.* API,大部分是异步API,支持的API,alarms：设定定时器 bookmarks：书签相关操作 browserAction：浏览器工具栏上面的展现 browsingData清除浏览数据 contextMe

4、nu操作上下文菜单 Cookies操作Cookie History 操作历史 Proxy 代理相关设置 Storage 存储（大小受限） Tabs 操作标签页 topSites 最近访问网站 webNavigation Navigate回调 webRequest 截获网络请求,可用的其他API,标准 JavaScript APIs 核心JavaScript andDocument Object Model(DOM) APIs XMLHttpRequest UseXMLHttpRequestto request data from one or more servers. Thepermissi

5、onsfield of the manifest specifies which hosts the extension can send requests HTML5 API audio application cache Canvas geolocation local storage Notifications Video web database WebKit APIs V8 APIs, such asJSON APIs in bundled libraries jQuery,UI Page,Popup page Chrome.tabs.create() Window.open() O

6、verride Page: Bookmark manager，History ， New Tab,Content Script,实例分析,ContentScript2：过滤规则匹配,Background Page,Subscription,FilterStorage,规则下载,规则保存,Option Page,配置,请求规则,页面,页面加载通知,ABP 深入剖析,Manifest文件,初始化，得到数据,Background页面的消息处理,回调中处理广告过滤,Block广告元素,过滤函数,规则下载,保存,猎豹浏览器对于扩展的支持,跟随CHROME的优化,为了解决Background Page长期占用内存 Event Page按需装载 加载时机 第一次安装 监听事件到达 Content Script发送消息 其他页面调用 chrome.runtime.getBackgroundPage() 生命周期管理,扩