同源策略,是由Netscape提出的一个著名的安全策略,现在所有支持javascript的浏览器都会使用这个策略。
为什么需要同源策略,这里举个例子:
假设在浏览器的一个tab窗口中打开了银行网站,在另外一个tab窗口中打开了一个恶意网站,而那个恶意网站引入了一个javascript脚本。如果没有同源策略,那么这个脚本就可以获取或篡改银行网站上的信息
同源策略是由浏览器来实现的。浏览器在执行一个javascript脚本之前,首先会负责进行“同源检查”,如果javascript和页面不是同源的,浏览器就会拒绝执行这个javascript脚本
二、chrome extension违反了同源策略吗
function click(e) { chrome.tabs.executeScript(null, { code : "document.body.style.backgroundColor='red'" }); window.close(); }
上述js代码,在点击chrome扩展中的一个按钮时,会改变当前TAB页面里的背景颜色
利用chrome.tabs.executeScript()方法,还可以做很多事情,当然也包括获取document里的信息
看起来,chrome extension违反了同源策略
但是实际上并不是这样,chrome通过2个层面来保证安全
首先chrome扩展是需要通过google审查的,并不是随意发布的,所以比来路不明的javascript安全
其次,在开发chrome extension时,需要在manifest文件中进行权限声明:
"permissions": [ "tabs", "notifications", "http://localhost:8080/", "http://www.baidu.com/" ]
因此,在用户选择安装这个extensions时,就会给出警告,类似于android上的权限声明机制
所以,chrome extensions并不是违反javascript同源策略的
3、chrome.tabs、chrome.windows、document、window
这几个概念有点混淆,顺便在此澄清一下
document和window是javascript里特有的概念,不是浏览器特有的
window是窗口,document是窗口里加载的文档模型(DOM)
详细的介绍,可以看这篇文章:
http://eligeske.com/jquery/what-is-the-difference-between-document-and-window-objects-2/
在具体的浏览器实现里,则有windows和tabs的区别
很早以前(IE6之前),浏览器的一个窗口只能打开一个网页;现在基本所有的浏览器都支持TAB了
chrome也提供了API,来控制windows和tabs,分别是chrome.windows和chrome.tabs
4、扩展和插件(extensions and plugins)
扩展和插件不同
扩展主要用javascript开发,可以用chrome://extensions管理
插件用NPAPI开发,语言是C++,可以用chrome://plugins管理
![](http://dl.iteye.com/upload/attachment/0081/3387/090b3054-3a84-336c-8f51-79657eb2069d.png)