擴充功能可在瀏覽器中存取特殊權限，因此成為攻擊者的目標。如果擴充功能遭到入侵，每個使用者都可能遭到惡意和不必要的侵入。請納入這些做法，確保擴充功能和使用者安全無虞。
保護開發人員帳戶
擴充功能程式碼會透過 Google 帳戶上傳和更新。如果開發人員的帳戶遭到入侵，攻擊者可能會直接向所有使用者推送惡意程式碼。保護帳戶的方式如下： 最好建立開發人員帳戶，並啟用雙重驗證 使用安全金鑰。
保留群組選擇性
如果使用群組發布功能，請將群組限制為信任的開發人員。請勿接受來自不明人士的會員要求。
一律不使用 HTTP
要求或傳送資料時，請避免使用 HTTP 連線。假設任何 HTTP 連線都會遭到竊聽或包含修改內容。建議一律優先使用 HTTPS，因為這項服務已內建 HTTPS 能規避大部分中間人攻擊的安全性。
要求最低限度的權限
Chrome 瀏覽器會限制擴充功能對於特定權限 資訊清單。擴充功能應只註冊 API 並 適時適地顯示切合需求的網站任意程式碼應保持在最小值。
限制擴充功能權限可限制潛在攻擊者可使用的內容。
跨來源 XMLHttpRequest
擴充功能只能使用 XMLHttpRequest，從自身和權限中指定的網域取得資源。
{
"name": "Very Secure Extension",
"version": "1.0",
"description": "Example of a Secure Extension",
"permissions": [
"/*",
"https://*.google.com/"
],
"manifest_version": 2
}
這個擴充功能會透過以下方式，要求存取 developer.chrome.com 和 Google 的子網域：
在權限中列出 "/*" 和 "https://*google.com/"。如果
擴充功能遭到入侵，該應用程式還是只能與符合以下瀏覽器的網站互動：
比對模式。攻擊者將無法存取 "https://user_bank_info.com"
與 "https://malicious_website.com" 互動。
限制資訊清單欄位
在資訊清單中加入不必要的註冊行為會造成安全漏洞，並造成擴充功能 讓圖片更顯眼限制只有擴充功能所需的資訊清單欄位，並提供特定欄位 註冊。
可外接
使用 externally_connectable 欄位，宣告擴充功能會與哪些外部擴充功能和網頁交換資訊。限制擴充功能可與哪些外部信任來源連線。
{
"name": "Super Safe Extension",
"externally_connectable": {
"ids": [
"iamafriendlyextensionhereisdatas"
],
"matches": [
"/*",
"https://*google.com/"
],
"accepts_tls_channel_id": false
},
...
}
網路資源
在 web_accessible_resources 下讓網頁能存取資源，網站和攻擊者就能偵測到擴充功能。
{
...
"web_accessible_resources": [
"images/*.png",
"style/secure_extension.css",
"script/secure_extension.js"
],
...
}
可用的網路資源越多，就能讓潛在攻擊者利用越多管道。保留 最低為 YAML 檔案
加入煽情露骨內容安全政策
在資訊清單中加入延伸模組的內容安全政策，以防範跨網站指令碼攻擊。如果擴充功能只載入自身的資源，請註冊下列項目：
{
"name": "Very Secure Extension",
"version": "1.0",
"description": "Example of a Secure Extension",
"content_security_policy": "default-src 'self'"
"manifest_version": 2
}
如果擴充功能需要加入特定主機的指令碼，可以納入這些主機：
{
"name": "Very Secure Extension",
"version": "1.0",
"description": "Example of a Secure Extension",
"content_security_policy": "default-src 'self' https://extension.resource.com"
"manifest_version": 2
}
避免使用可執行的 API
執行程式碼的 API 應改用更安全的替代方案。
document.write() 和 innerHTML
雖然使用 document.write() 和 innerHTML 動態建立 HTML 元素可能比較簡單，但這會讓擴充功能和擴充功能所依賴的網頁，暴露於攻擊者插入惡意指令碼的風險中。請改為手動建立 DOM 節點，並使用 innerText 插入動態內容。
function constructDOM() {
let newTitle = document.createElement('h1');
newTitle.innerText = host;
document.appendChild(newTitle);
}
eval()
請盡可能避免使用 eval() 來防範攻擊，因為 eval() 會執行傳遞的任何程式碼
而這可能只是惡意
var xhr = new XMLHttpRequest();
xhr.open("GET", "https://api.example.com/data.json", true);
xhr.onreadystatechange = function() {
if (xhr.readyState == 4) {
// WARNING! Might be evaluating an evil script!
var resp = eval("(" + xhr.responseText + ")");
...
}
}
xhr.send();
相反地，建議改用安全又快速的方法，例如 JSON.parse()
var xhr = new XMLHttpRequest();
xhr.open("GET", "https://api.example.com/data.json", true);
xhr.onreadystatechange = function() {
if (xhr.readyState == 4) {
// JSON.parse does not evaluate the attacker's scripts.
var resp = JSON.parse(xhr.responseText);
}
}
xhr.send();
謹慎使用內容指令碼
- 內容指令碼是擴充功能中唯一可直接與網頁互動的部分。因此，惡意網頁可能會操控內容指令碼所依賴的 DOM 部分，或利用令人意外的網路標準行為，例如命名項目。
- 如要與網頁的 DOM 互動，內容指令碼必須在與網頁相同的轉譯器程序中執行。這會導致內容指令碼容易遭受側通道攻擊 (例如Spectre)，並在惡意網頁遭到入侵時遭到攻擊者掌控 轉譯器程序
敏感工作必須在專用程序中執行，例如擴充功能的背景 指令碼。避免意外洩露擴充功能權限給內容指令碼：
- 假設內容指令碼中的訊息可能是攻擊者偽造的 (例如驗證並清理所有輸入內容，並保護指令碼免受跨網站指令碼攻擊)。
- 假設傳送至內容指令碼的任何資料都可能外洩到網頁。請勿將機密資料 (例如擴充功能的機密資料、其他網站來源的資料、瀏覽記錄) 傳送至內容指令碼。
- 限制可由內容指令碼觸發的特殊權限動作範圍。請勿允許內容指令碼觸發對任意網址的要求，或將任意引數傳遞至擴充功能 API (例如，請勿允許將任意網址傳遞至
fetch或chrome.tabs.createAPI)。
註冊及清除輸入內容
限制事件監聽器僅保留擴充功能的內容，保護擴充功能不受惡意指令碼侵擾 預期、驗證傳入資料的傳送者，並淨化所有輸入內容。
只有在預期來自外部網站或擴充功能的通訊時，擴充功能才應註冊 runtime.onRequestExternal。一律驗證寄件者是否與
可信任的來源。
// The ID of an external extension
const kFriendlyExtensionId = "iamafriendlyextensionhereisdatas";
chrome.runtime.onMessageExternal.addListener(
function(request, sender, sendResponse) {
if (sender.id === kFriendlyExtensionId)
doSomething();
});
即使是透過擴充功能本身的 runtime.onMessage 事件傳送的訊息，也應仔細審查，確保 MessageSender 並非來自遭到入侵的內容指令碼。
chrome.runtime.onMessage.addListener(function(request, sender, sendResponse) {
if (request.allowedAction)
console.log("This is an allowed action.");
});
清除使用者的輸入內容和傳入資料，防止擴充功能執行攻擊者的指令碼 資料，包括來自擴充功能本身和經核准的來源。避免使用可執行的 API。
function sanitizeInput(input) {
return input.replace(/&/g, '&').replace(/</g, '<').replace(/"/g, '"');
}