禁用火狐同源策略

Question

我正在开发一个本地研究工具，要求我关闭Firefox的同源策略（就脚本访问而言，我并不真正关心跨域请求）。

更具体地说，我希望宿主域中的脚本能够访问嵌入在页面中的任何iframe中的任意元素，而不管它们的域是什么。

我知道以前的问题

如果这不能很容易地完成，我也会很感激任何见解，指出我的FF src代码的具体部分，我可以修改禁用SOP，以便我可以重新编译FF。

Answer 1

我意识到我以前的答案被否决了，因为我没有具体说明如何禁用FF的同源策略。在这里，我将给出更详细的回答：

警告：这需要重新编译FF，新编译的Firefox版本将无法再次启用SOP。

查看Mozilla的Firefox源代码，查找nsScriptSecurityManager。src目录中的cpp。我将使用此处列出的示例：http://mxr.mozilla.org/aviarybranch/source/caps/src/nsScriptSecurityManager.cpp

转到函数实现nsScriptSecurityManager::ChelkSameOriURI，这是日期03/02/2016的第568行。

使该函数始终返回NS\u OK。

这将永久禁用SOP。

@Giacomo的浏览器插件答案对大多数人来说应该是有用的，我已经接受了这个答案，但是，出于我个人的研究需要（TL；这里不解释），这是不够的，我想其他研究人员可能需要像我在这里做的那样完全杀死SOP。

Answer 2

about:config -> security.fileuri.strict_origin_policy -> false

Answer 3

在2015年3月5日发布的最新Firefox（build 36.0.1）上，有一个Firefox扩展将CORS头添加到任何HTTP响应中。我测试了它，它在Windows7和Mavericks上都能工作。我将指导您完成使其工作的步骤。

1） 获得分机

您可以从这里下载xpi（作者构建），也可以从这里下载xpi（镜像，可能不会更新）。

或者从GitHub下载文件。现在它也出现在Firefox Marketplace上：在这里下载。在这种情况下，单击install（安装）后将安装插件，您可以跳到步骤4。

如果你下载了xpi，你可以跳到步骤3。如果您从GitHub下载了zip，请转到步骤2。

2） 构建xpi

您需要解压缩zip文件，进入“cors everywhere firefox插件主文件夹”，选择所有项目并压缩它们。然后，将创建的zip重命名为*。xpi

注意：如果您使用的是OSXGUI，它可能会创建一些隐藏文件，因此最好使用命令行。

3） 安装xpi

您可以将xpi拖放到firefox，或者转到：“关于：插件”，单击右上角的cog并选择“从文件安装插件”，然后选择您。xpi文件。现在，重新启动firefox。

4）让它工作

现在，默认情况下扩展无法工作。您需要将扩展图标拖到扩展栏上，但不要担心。有照片！

• 点击火狐菜单
• 点击自定义

• 将CorsE拖到工具栏上
• 现在，单击图标，当它为绿色时，CORS头将添加到任何HTTP响应中

5） 测试它是否工作

jQuery

$.get( "http://example.com/", function( data ) {
  console.log (data);
});

JavaScript

xmlhttp=new XMLHttpRequest();

xmlhttp.onreadystatechange = function() {
    if (xmlhttp.readyState == 4) {
        console.log(xmlhttp.responseText);
    }
}

xmlhttp.open("GET","http://example.com/");
xmlhttp.send();

6） 最后考虑

请注意，不允许https到http。

也许有办法解决这个问题，但这已经超出了问题的范围。