security - 沙盒 iframe 中的内容可以被浏览器扩展读取/监视吗？如果不是，我应该使用 iframe 来保护用户凭据吗？

除了所有其他典型的安全最佳实践之外，我对此感到疑惑，因为我最近阅读了一些关于浏览器扩展如何监视用户所做的任何事情的文章。所以我们不应该相信他们。

因此，为了给用户和额外的保护层，我应该在我的网页内的 iframe 内处理所有用户的凭据和敏感信息吗？

标签： securityiframecredentials

沙盒 iframe 中的内容可以被浏览器扩展读取/监视吗？

是的

我可以使用 iframe 来保护用户凭据吗？

快速回答，没有。

当用户安装 chrome 扩展程序时，该扩展程序基本上可以在网站上执行任何操作来访问用户凭据。该扩展程序还可以访问页面生成的 iframe。

我提出的解决这两个问题并保持网站“安全”的解决方案如下：

如果最终目标是保护您的用户将在网站中放置的内容，并且如果页面中运行其他类型的扩展程序，您绝不想让用户放置内容，那么您可以放置某种在页面中弹出阻止用户访问，直到他访问没有扩展的网站。

您可以向用户建议的另一个解决方案是进入隐身模式，因为有很多选项可以禁止隐身扩展，而不必强制他卸载浏览器上的所有扩展。这也可能使更少的用户离开您的页面，就好像您强迫他卸载浏览器上的扩展程序一样，如果这对他来说不是一个足够清楚的理由，这可能会让他离开您的页面。

如果您确实知道哪些扩展程序不应该被阻止或阻止，因为它们是有害的或已知具有某种不正当行为，您可以做的是检查用户是否使用此解决方案安装了它们检查用户是否有安装了某些扩展，然后向他打印一条消息，说他在卸载这些扩展之前无法继续。