Come disabilitare CSP in Firefox solo per i bookmarklet?

Oggi ho notato che non sono in grado di eseguire bookmarklet su https://github.com/ a causa delle restrizioni di Content Security Policy (CSP). Esiste un modo per disabilitare CSP in Firefox solo per i bookmarklet e non per tutto il resto?

Ho notato l' security.csp.enableopzione in about:config, ma questo disabiliterebbe CSP completamente. Il seguente messaggio viene registrato sulla console quando si attiva un bookmarklet:

Timestamp: 04/22/2013 02:39:05 PM
Warning: CSP WARN:  Directive inline script base restriction violated

Source File: https://github.com/
Line: 0
Source Code:
javascript:...

Puoi provare a convertire i tuoi bookmarklet in script utente GreaseMonkey . Funzionano in un ambiente privilegiato e non sono soggetti a CSP.

Tuttavia, naturalmente le intenzioni di script utente e bookmarklet sono diverse: gli script utente vengono eseguiti automaticamente mentre i bookmarklet sono su richiesta. È possibile aggirare questo, ad esempio creando un <button>nello script utente, aggiungendolo alla pagina e impostando un onclicklistener di eventi su quel pulsante per attivare il codice del bookmarklet.

Il codice dovrebbe andare così:

// ==UserScript==
// @name            Name
// @description     Description
// @version         0.1
// @namespace       example.Lekensteyn
// @grant           none
// @include         http*://github.com/*/*/commit/*
// ==/UserScript==

var myBookmarklet = function () {
    // here goes the code of the bookmarklet
};

var newButton = document.createElement('button');
newButton.innerHTML = 'Execute my bookmarklet';

newButton.addEventListener('click', function(evt) {
    myBookmarklet();
});

document.getElementById('someElement').appendChild(newButton);

Tratto quasi letteralmente dal mio script utente che si rivolge anche a GitHub. Puoi eseguire il debug debugger;degli script utente in Firebug usando la parola chiave nello script.

Si noti tuttavia che Firebug stesso è per ora soggetto anche a CSP, quindi non è possibile ad esempio eseguire il codice nella console (ma è possibile ispezionare i propri script utente in modalità "sola lettura"). Questo problema viene risolto in questo errore .

Github dice che dovrebbe funzionare secondo le specifiche, ma nessun browser funziona bene:

https://github.com/blog/1477-content-security-policy#bookmarklets

Dovresti aprire un bug per il tuo browser preferito per questo problema o votarlo:

• Firefox: https://bugzilla.mozilla.org/show_bug.cgi?id=866522
• Chromium: https://code.google.com/p/chromium/issues/detail?id=233903

Molte risposte raccomandano gli script utente (come TamperMonkey o GreaseMonkey) ma voglio ricordare che alcune pagine sono inserite nella lista nera per un motivo da queste estensioni. (Certo, puoi ignorare la lista nera, ma gli sviluppatori avevano in mente la sicurezza e hanno bloccato queste pagine).

Ad esempio, volevo utilizzare un bookmarklet per passare rapidamente a ReviewMeta da qualsiasi elenco di Amazon, ma Amazon ha bloccato le fonti di script non sicure (aggiornamento: non era bloccato, ma non avevo script, è un peccato). Le estensioni degli script utente sono inserite nella blacklist sui siti bancari e commerciali per impostazione predefinita per impedire l'installazione / l'utilizzo di script di utenti malintenzionati.

(PS Questa non è una risposta in sé, ma ho pensato che sarebbe stato utile tenerlo a mente prima di mettere le mani su uno script utente solo per trovare la pagina nella lista nera ed esitare a non inserirla nella lista nera.)

Ho creato una "soluzione" alternativa per questo problema utilizzando uno script utente Greasemonkey (in Firefox). Ora puoi avere bookmarklet su tutti i siti CSP e https: //, inoltre avere i tuoi bookmarklet in un file di libreria piacevole e facilmente modificabile invece di essere schiacciato individualmente in un segnalibro.

Vedi: https://groups.google.com/d/msg/greasemonkey-users/mw61Ynw5ORc/Gl_BNUhtSq0J

Se vuoi eseguire i tuoi bookmarklet su siti Web abilitati per CSP in Firefox, puoi utilizzare i fogli di stile CSS, vedi la mia risposta su StackOverflow .