הצהרה על הרשאות

כדי להשתמש ברוב ממשקי ה-API של התוספים ובתכונות שלהם, צריך להצהיר על הכוונה של התוסף בשדות ההרשאות של קובץ המניפסט. תוספים יכולים לבקש את קטגוריות ההרשאות הבאות, שמוגדרות באמצעות מפתחות המניפסט המתאימים:

"permissions"

מכיל פריטים מרשימה של מחרוזות מוכרות. שינויים עשויים להפעיל אזהרה.

"optional_permissions"

המשתמש מעניק את ההרשאה בזמן הריצה, ולא בזמן ההתקנה.

"content_scripts.matches"

כולל דפוסי התאמה שמאפשרים לסקריפטים של תוכן להוסיף קוד למארח אחד או יותר. שינויים עשויים להפעיל אזהרה.

"host_permissions"

כולל דפוסי התאמה אחד או יותר שמעניקים גישה למארח אחד או יותר. שינויים עשויים להפעיל אזהרה.

"optional_host_permissions"

ההרשאה ניתנת על ידי המשתמש בזמן הריצה, ולא בזמן ההתקנה.

הרשאות עוזרות להגביל את הנזק אם תוכנה זדונית פוגעת בתוסף. חלק מהאזהרות לגבי הרשאות מוצגות למשתמשים כדי לקבל את הסכמתם לפני ההתקנה או בזמן הריצה, כפי שמפורט במאמר הרשאות עם אזהרות.

כדאי להשתמש בהרשאות אופציונליות בכל מקום שבו הפונקציונליות של התוסף מאפשרת זאת, כדי לספק למשתמשים שליטה מושכלת בגישה למשאבים ולנתונים.

אם API מסוים דורש הרשאה, במסמכי התיעוד שלו מוסבר איך להצהיר עליה. דוגמה מופיעה במאמר בנושא Storage API.

מניפסט

דוגמה לקטע ההרשאות בקובץ manifest:

manifest.json:

{
  "name": "Permissions Extension",
  ...
  "permissions": [
    "activeTab",
    "contextMenus",
    "storage"
  ],
  "optional_permissions": [
    "topSites",
  ],
  "host_permissions": [
    "https://www.developer.chrome.com/*"
  ],
  "optional_host_permissions":[
    "https://*/*",
    "http://*/*"
  ],
  ...
  "manifest_version": 3
}

הרשאות המארח

הרשאות מארח מאפשרות לתוספים ליצור אינטראקציה עם תבניות התאמה של כתובות URL. חלק מממשקי ה-API של Chrome דורשים הרשאות מארח בנוסף להרשאות ה-API שלהם, שמפורטות בכל דף הפניה. הנה כמה דוגמאות:

• שליחת בקשות fetch() מקובץ השירות (service worker) של התוסף ומדפי התוסף.
• קריאה של מאפייני הכרטיסייה הרגישים (url,‏ title ו-favIconUrl) וביצוע שאילתות לגביהם באמצעות chrome.tabs API.
• החדרה של סקריפט תוכן באופן פרוגרמטי.
• אפשר לעקוב אחרי בקשות הרשת ולשלוט בהן באמצעות chrome.webRequest API.
• גישה לקובצי Cookie באמצעות chrome.cookies API.
• הפניה אוטומטית ושינוי של בקשות וכותרות תגובה באמצעות chrome.declarativeNetRequest API.

הרשאות עם אזהרות

כשתוסף מבקש כמה הרשאות, ורבות מהן מציגות אזהרות בהתקנה, המשתמש יראה רשימה של אזהרות, כמו בדוגמה הבאה:

המשתמשים נוטים יותר לבטוח בתוסף עם אזהרות מוגבלות או כשההרשאות מוסברות להם. כדי להימנע מאזהרות מטרידות, כדאי להטמיע הרשאות אופציונליות או ממשק API חלש יותר. שיטות מומלצות בנושא אזהרות מפורטות במאמר הנחיות בנושא אזהרות לגבי הרשאות. אזהרות ספציפיות מפורטות ברשימת ההפניות הרשאות, לצד ההרשאות שאליהן הן מתייחסות.

הוספה או שינוי של דפוסי התאמה בשדות "host_permissions" ו-"content_scripts.matches" בקובץ המניפסט יפעילו גם אזהרה. מידע נוסף זמין במאמר בנושא עדכון הרשאות.

מתן גישה

אם התוסף צריך לפעול בכתובות URL של file:// או במצב פרטי, המשתמשים צריכים לתת לתוסף גישה בדף הפרטים שלו. הוראות לפתיחת דף הפרטים מופיעות בקטע ניהול התוספים.

התרת גישה לכתובות אתרים של קבצים ולדפים במצב פרטי

1. לוחצים לחיצה ימנית על סמל התוסף ב-Chrome.

2. בוחרים באפשרות ניהול התוסף.

   

3. גוללים למטה כדי לאפשר גישה לכתובות אתרים של קבצים או למצב פרטי.

   

כדי לזהות אם המשתמש אישר את הגישה, אפשר להתקשר אל extension.isAllowedIncognitoAccess() או אל extension.isAllowedFileSchemeAccess().