権限を宣言してユーザーに警告する

ウェブサイトやほとんどの Chrome API に拡張機能がアクセスできるかどうかは、 権限。権限は、その機能に必要なもののみに制限する必要があります。 権限を制限することで拡張機能の機能が確立され、データへの侵入が抑制されます 拡張機能が攻撃者によって不正使用された場合に通知されます。以下を実装することで、拡張機能とそのユーザーを保護できます。 オプションの権限について学習します。

権限を整理する

権限とは、Chrome API や一致パターンを参照する既知の文字列で、 ホストします。これらはマニフェストにリストされ、必要な権限または権限として指定されています。 オプションの権限。

{
  "name": "Permissions Extension",
  ...
  // required permissions
  "permissions": [
    "activeTab",
    "contextMenus",
    "storage"
  ],
  // optional permissions
  "optional_permissions": [
    "topSites",
    "http://www.developer.chrome.com/*"
  ],
      ...
  "manifest_version": 2
}

必要な権限を、拡張機能のコア機能に必要な権限のみに制限する。「 拡張機能が現在必要以上の権限をリクエストしてはなりません。将来の変化に対応できる 権限をリクエストできます。

オプション機能に必要な権限は、オプションの権限として登録する必要があります。この ユーザーは、拡張機能を提供する権限と機能を決定できます。 あります。

必要な権限を特定する

シンプルな拡張機能では複数の権限をリクエストする必要があり、多くの権限が表示されます 警告が表示されます。拡張機能の警告や警告が限定的であっても、ユーザーは拡張機能を信用する傾向がある 制御できるようになります。

拡張機能のコア機能と、拡張機能に必要な権限を特定します。検討事項 警告付きの権限が必要な場合に機能をオプションにする。

イベントを使用してオプションの権限をトリガーする

オプションの権限のサンプル拡張機能のコア機能が新しいタブページをオーバーライドしています。 ユーザーの今日の目標を表示する機能。この機能が必要になるのは、ストレージ この権限が付与されると、警告は表示されません。

この拡張機能には追加機能があります。ユーザーの上位のサイトを表示するこの機能を使用するには topSites 権限であるため、警告が表示されます。

オプションとして警告付きの権限を使用する機能を開発し、それらを導入する 機能によって、拡張機能をリスクなしでユーザーに自然に紹介できます。また、 拡張機能を使用すると、ユーザーは拡張機能を使用してユーザー エクスペリエンスをさらにカスタマイズできます。 警告の説明が表示されます。

ActiveTab 権限を置き換える

activeTab 権限は、ユーザーがアクセスしているサイトに一時的なアクセス権を付与し、 拡張機能を使用して、現在のタブで "tabs" 権限を使用できるようにします。Kubernetes は、 多くの場合、"<all_urls>"し、インストール時に警告は表示されません。

ActiveTab を使用しない場合:

activeTab を使用すると、次のようになります。

activeTab 権限は、拡張機能が現在アクティブなタブへの一時的なアクセス権を ユーザーが拡張機能を呼び出します。拡張機能が不正使用されている場合、攻撃者は 拡張機能を呼び出せます。また、そのアクセスは、 タブが移動または閉じられたとき。

タブで activeTab 権限が有効になっている場合、拡張機能は次のことができます。

• そのタブで tabs.executeScript または tabs.insertCSS を呼び出します。
• tabs.Tab オブジェクトを返す API を使用して、そのタブの URL、タイトル、ファビコンを取得します。
• webRequest を使用して、タブのメインフレーム オリジンへのネットワーク リクエストをインターセプトします。 APIこの拡張機能は、タブのメインフレーム オリジンに対するホスト権限を一時的に取得します。

次のユーザー操作により、activeTab が有効になります。

• ブラウザ アクションの実行
• ページ アクションの実行
• コンテキスト メニュー項目の実行
• commands API からキーボード ショートカットを実行する
• omnibox API からの提案の受け入れ

アクセスを許可しています

拡張機能が file:// の URL にアクセスする必要がある場合、またはシークレット モードで動作する必要がある場合、ユーザーは次の操作を行う必要があります 拡張機能の詳細ページ（chrome://extensions）で、これらの機能へのアクセスを有効にします。

拡張機能は、シークレット モードで有効になっているかどうかを次の呼び出しによって検出できます。 extension.isAllowedIncognitoAccess()、または次を含む file:// の URL で実施可能 extension.isAllowedFileSchemeAccess() .

権限について

API によって拡張機能のユーザーに付与された機能を説明する権限警告がありますが、 これらの警告の中には、初めはわかりにくいものもあります。たとえば、"tabs" を 許可の結果、無関係に見える警告が表示されます。この拡張機能は閲覧権限や アクティビティ。chrome.tabs API は新しいタブを開くためだけに使用することもできますが、 新たに開いたすべてのタブに関連付けられた URL を、tabs.Tab オブジェクトを使用して確認できます。

可能であれば、オプションの権限または性能の低い API を実装して、アラームが発生しないようにします。 表示されます。

警告の表示

拡張機能が解凍されたファイルとして読み込まれている場合、権限に関する警告は表示されません。イベントを 拡張機能の権限に関する警告で chrome://extensions に移動し、デベロッパー モードが有効になっていることを確認する [PACK EXTENSION] をクリックします。

[Extension root Directory] フィールドに拡張機能のフォルダのパスを入力し、[ [拡張機能のパッケージ化] ボタン。初回パッケージでは、[秘密鍵] フィールドを無視します。

.crx ファイルと .pem ファイルの 2 つが作成されます。このファイルには拡張機能の されます。

秘密鍵を紛失しないように注意してください。.pem ファイルを非公開の安全な場所に保管します。CANNOT TRANSLATE 拡張機能の更新に必要です。

.crx ファイルを Chrome 拡張機能の管理ページにドロップしてインストールします。

.crx ファイルをドロップすると、拡張機能を追加して表示できるかどうかを確認するメッセージがブラウザに表示されます。 表示されます。

警告のある権限

注: 権限テーブルはベスト エフォート ベースで更新されるため、多少の差異が生じる場合があります。 現在の警告が表示されますまた、一部の権限は、アプリとペア設定されている場合、 できます。たとえば、"tabs" 警告は、拡張機能が "<all_urls>" のリクエスト。拡張機能の権限に関して表示された最新の警告を確認するには、 警告の表示の手順を参照してください。

許可を更新

権限を追加して拡張機能を更新すると、一時的に無効になることがあります。ユーザーは 新しい警告に同意した後に再度有効にしてください。

tabs 権限が含まれるようになった拡張機能をユーザーが手動で更新した場合、 管理ページに警告が表示されます。

拡張機能が自動更新された場合、ユーザーが新しい 付与できます。

これを回避するには、この新機能をオプションに設定し、 マニフェストの optional_permissions。