Javascript 书签在 Firefox 中的 CSP 现场

Question

我有一个简单的 Javascript 书签，我把它放在一起，以针对外部工具运行适当的 GitHub 存储库的内容：

javascript:(function(){ 
    var isApex = false;
    var sourceLangs = document.getElementsByClassName('lang');
        for (var i = 0; i < sourceLangs.length; ++i) {
        var l = sourceLangs[i]; 
        if(l.innerHTML == 'Apex') {
            isApex = true;
            // alert('This is an Apex repo');
        }
    }
    if(location.hostname != 'github.com' || isApex == false) {
        alert('This is not a GitHub Apex repository!');
    }
    else {
         window.open('https://githubsfdeploy.herokuapp.com/app/githubdeploy'+location.pathname);
    }

})();

当我在Chrome或IE中运行它时（通过Daring Fireball的JS bookmarklet生成器运行后），它工作正常。在Firefox中，它会生成内容安全策略错误：

[15:33:19.318] Content Security Policy: Directive inline script base restriction violated @ https://github.com/Groundwire/Campaign-Combiner

我已经阅读了关于这个主题的SE问题，以及关于CSP的github博客文章，其中承认CSP不应该干扰bookmarklets，但当时（2013年4月），“所有浏览器都没有正确的答案。”目前Firefox是否仍然错误，但Chrome

我还找到了一篇关于用户脚本的博客文章

javascript:document.body.appendChild(document.createElement("script")).src="https://raw.github.com/tet3/GitHubInstallerBookmarklet/master/GHIBkmarklet.js";void(0)

但不出所料，这对bookmarklet不起作用，因为调用代码仍然来自浏览器。

简而言之，关于如何在Firefox上使用这个书签，有什么想法吗？

Answer 1

我已经使用Greasemonkey用户脚本（在Firefox中）为此问题创建了一个变通方法“修复”。现在，您可以在所有 CSP 和 https:// 站点上拥有书签，并将书签放在一个漂亮的、易于编辑的库文件中，而不是单独压缩到书签中。

参见：http://www.donnelly-house.net/programming/js/bookmarklets/bookmarklets.php

Answer 2

作为CSP阻塞bookmarklet的一种变通方法，您可以告诉您的bookmarklet加载一个外部CSS样式表，其中注入您的JS代码。这就是我的顶级新闻订阅书签所做的。看我另一个回答。

Answer 3

我也研究过这个问题，主要是在Firefox中。我不知道它会在Chrome中工作；这可能是最近的变化。除了FF改变识别书签不在策略之外（这是应该的！），没有其他工作。脚本不会运行，句号，你死在水里了。

替代品：

1.）创建一个插件；或利用现有的插件（如Gresemonkey）运行用户脚本。

2.)在web控制台中运行代码。在FF中，CTRL+Shift+K可以让你瞬间到达目的地。

3.)FF的开发者便签本也行。如果您将代码保存在文件中，则可以使用Shift F4(打开草稿栏)相对快速地访问它