谷歌浏览器扩展“内容”脚本沙盒?

你不能那样做。根据 documentation :

但是,内容脚本有一些 限制。他们不能:

• 使用chrome.*api(chrome.extension的部分除外)
• 使用由其扩展页定义的变量或函数
• 使用由网页或其他内容脚本定义的变量或函数
• 生成跨站点xmlhttprequests

尽管chrome的内容脚本生活在一个“孤立的世界”中,但是您可以通过在dom中插入一个script元素来完成类似的任务。

作为概念证明,我使用了tampermonkey chrome扩展并创建了以下脚本:

// ==UserScript==
// @name         Modify Secret
// @namespace    http://your.homepage/
// @version      0.1
// @description  enter something useful
// @author       You
// @match        https://*/*
// @match        http://*/*
// @grant        none
// ==/UserScript==

console.log(secret);

var el = document.createElement('script');
el.innerHTML = 'secret = "the blue dog"';
document.body.appendChild(el);

然后我导航到 http://s.codepen.io/boomerang/745009c49e60974cf9dba1b070f27d111458064000840/index.html 运行此javascript的:

var secret = 'the brown fox';

var secretPrinter = setInterval(function () {
    console.log(secret);
}, 1000);

如果你检查控制台,人们会期望看到'棕色狐狸'不断印刷,但我们有'蓝狗'。

一般来说,我认为浏览器试图实现的安全概念是防止页面的环境访问内容脚本的环境。意识到这一点,使用浏览器扩展可以完成这样的任务并不奇怪。