「折腾」使用浏览器自带功能修改网站「响应标头」

吐槽/反馈/建议:我的咸鱼心  爱发电-@wdssmq

简要

有给各种网页写「GM_脚本」,姑且有弄「热重载」机制方便开发,但是一些网页的 CSP 策略不允许引入外部脚本,浏览器里也有临时禁用 CSP 的插件,但是并不总是管用,今天发现了一种浏览器自带的方法可以修改网站的「响应标头」,可以绕过网页自身的 CSP 限制;

正文

· 例行贴一些「相关」链接:

  1. 「折腾」使用 rollup.js 模块化编写 GM 脚本_电脑网络_沉冰浮水
  2. 「言说」写了份有点「大」的代码_杂七杂八_沉冰浮水
  3. 「GM_脚本」qBittorrent 批量修改种子 tracker_电脑网络_沉冰浮水

所以就是在更新「qBittorrent 批量替换 Tracker」时再一次感受到不能直接引入外部脚本的痛苦,然后发现浏览器是直接提供了修改支持的;

qBit 自身也是支持追加响应头的,新添加的理论上是会覆盖旧的,不知道姿势不对还是什么原因没走通;

· 需要添加的字段:

对于 wdssmq/rollup-plugin-monkey,需要为 Content-Security-Policy 补充相应规则:

  • default-src 'self' 'unsafe-inline' https://* data:;
  • connect-src ws://localhost:3000;
  • script-src 'unsafe-inline' https://* http://localhost:3000;

注:具体要与原始值合并,原则上应该是在原值基础上添加 ws://localhost:3000http://localhost:3000

· 操作步骤:

CSP 报错示意(001.png);

001.png

↑ 001.png

查看并复制原始 CSP 响应标头(002.png);

002.png

↑ 002.png

指定一个本地空白文件夹用于存储「替代文件」(003.png);

注:选定文件夹后有一个请求读写权限的确认选项;

003.png

↑ 003.png

添加「替代规则」,具体值以实际需要为准(004.png)

004.png

↑ 004.png

结束

  • CSP 全称为「Content Security Policy」,中文名为「内容安全策略」,是一种用于检测并减轻 XSS 攻击的浏览器安全机制,其实就是一种「白名单」机制,只允许指定的资源被加载;
  • 修改后的值按实际需要,也不限于这个标头字段;
  • AI 有给一个直接从浏览器配置中禁用 CSP 的方式,因为是针对全部网站的,所以不推荐使用;
  • 在浏览器地址栏输入 about:config 并回车,搜索 security.csp.enable 并双击修改为 false);
  • 实际效果其实也没试;

爱发电

本文标题:《「折腾」使用浏览器自带功能修改网站「响应标头」》作者:沉冰浮水
原文链接:https://www.wdssmq.com/post/20120902324.html
特别注明外均为原创,转载请注明。

分享到微信

扫描二维码

可在微信查看或分享至朋友圈。

相关文章

发表评论:

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

网站分类

搜索

本周旧文

wdssmq/blog-astro: 一个基于 Astro 的静态博客;

本质上,面临一个代码问题时,我们需要的是另一个人愿意为「你」的问题投入精力,并且有相应的技术知识。。

接上一条,Resilio Sync 换 Syncthing 感觉也是略大的工程。。Orz

去年 GoodSync 送了一年授权,然后也确实用上了;本来想着到期就换 Syncthing,结果前几天临期提醒,花 ¥381 续了三年 Orz,两者定位和使用姿势还是有些差别的。。更早是用 Resilio Sync 和 BCompare,但是前者内存占用太高,后者并不是自动同步的定位。。

2024 年了,姑且备份下嘟特存档。。

……,一个不知名的小众样式库 + 内联样式混写这种入坑姿势确实很有槽点,但是,「已经开始学」并且能够持续是绝对值得肯定的。。

在贴吧看过很多提问了,就有种错觉:好多人为了提一个问题专门注册了贴吧,问题本身可能得到有效回答,也可能没有(和提问的点及具体姿势有关。。但无论如何,之后就和注销了账号一样没有然后了,好像之后永远不用学相应的东西一样。。

《恶魔娃娃》

- 他们正研究你究竟是真正的大人,还是伪装成大人的小孩

- 我自己都研究很久了

乐高 DC 里,(基本就蝙蝠侠家,,年龄最小的那个无论是谁感觉人设都会变得一样 - -

所以,就感觉和祥林嫂一样,每天都需要向外「签到」自己的情绪感受,然而又并没有什么「需要」我这样的签到……

爱发电支持者

最新留言

友情链接

  • 订阅本站的 RSS 2.0 新闻聚合
召唤伊斯特瓦尔