0

Ситуация такова: расширение внедряет некоторый скрипт в страницу, который должен выполнить кросс-доменный запрос. Соответственно, страница блокирует запрос, печатая следующую ошибку:

Refused to connect to 'https://example.com/script.js' because it violates the following Content Security Policy directive: "connect-src 'self' blob: blob ...

Так же я заметил, что над XMLHttpRequest существует некоторая обёртка (поскольку ошибка происходит не на вызове метода open, а на вызове другого метода, который следует за ним). Как можно решить данную проблему? Ошибка довольно таки "стандартная" для таких ситуаций, и мне кажется обёртка тут роли не играет, я прав?

3
  • Есть такой механизм защиты CORS. Суть в том что сервер должен явно указать с какого домена (или маску) разрешается выполнить запрос
    – alex
    4 мар 2021 в 19:53
  • Да, я видел в ответах сервера прописанный список доменов, на которые разрешается выполнение запросов. Как это можно обойти?
    – D .Stark
    4 мар 2021 в 20:41
  • Кажется я догадался. Нужно лишь подписаться на webRequest.onHeadersReceived и менять значение заголовка content-security-policy добавляя после строчки "connect-src 'self' blob: blob нужный домен.
    – D .Stark
    4 мар 2021 в 22:41

1 ответ 1

0

Это решается просто. В первую очередь, у расширения должны быть права на домен - или на конкретный или "<all_urls>". Подробнее об этом можно почитать здесь.

Далее. Если вы будете подключать скрипт через .appendChild(scriptElement), загруженный скрипт будет исполнятся в контексте страницы, на него будут действовать ограничения контекста страницы и не будут действовать полномочия расширения.

Вам нужно подключить скрит через манифест или програмно из background.js. В таком случае расширение сможет слать запросы куда захотите, будет иметь доступ к DOM страницы, НО у него не будет доступа к переменным области видимости обычных переменных сайта.

Такое ограничение обходится просто: подключается один скрипт первым способом, один - вторым, и они общаются с помощю window.postMessage.


1
  • В комментариях я изложил более удобнее решение.
    – D .Stark
    9 мар 2021 в 20:26

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.