写点什么

Angular 1.X 在 Firefox 扩展开发中遭禁用

2016 年 10 月 27 日

在经过了艰苦的工作之后,bitwarden 团队发现,他们用来构建 Firefox 扩展的技术——Angular 1.5.8——已经遭到禁用。

在一项 Bug 报告中,该团队表示,他们希望将其扩展带到 Firefox(在 Chrome 中已经可用),但是因为 Angular 1.5.8 的存在被插件 linter 给拒绝了。他们使用了一个特定的版本,但事实证明,Angular 1.X 的每个版本都在 Firefox 扩展开发中遭到了禁用。

这不见得是 Angular 的漏洞,更多的是和 Angular 1.X 及其他库与 Firefox 扩展系统及已经加载到浏览器的页面的交互方式有关。来自 Angular 团队的 Martin Probst描述了这个问题

Angular 本身没有问题,转义或求值本身都没有问题。

不过,有一种极端情况,Angular 的存在可能会弱化某些安全指标。那需要多个问题同时出现,包括受攻击的页面本来就存在漏洞。我不太清楚,Mozilla 是否考虑过那个问题,但那确实是个问题。我们会在 Angular 内部增加一些防护措施来缓解这种情况,但我认为,这是一个如何处理扩展的一般性问题,而不限于 Angular。

使问题复杂化的是,Firefox 知道 Angular 遭禁用,但他们没有和谷歌共享这一信息。来自 Mozilla 的 Andreas Wagner表示,他们是有意为之:

很遗憾,我们没能将它们报告给 Angular 团队,因为发现它们的安全研究人员要求我们不要共享它们。

现在还不清楚,为什么该研究人员没有直接联系 Angular 团队。

社区里有些人对此大为恼火,但是,上述不知名字的研究人员现在已经和谷歌取得了联系,修复程序已经在开发之中。大部分讨论都指向 Angular 1.X 中一个名为“表达式沙箱(Expression Sandbox)”的特性。谷歌已经决定,在 1.6 版本中移除表达式沙箱。但 Probst 表示,该沙箱不是 Angular 1.X 遭到禁用的原因

  • 通过和该研究人员交流,我们现在对根本问题有了更好的了解。
  • 那个问题和绕过沙箱无关。
  • 存在一个安全问题(优先级不是特别高)。那个问题真的不是 Angular 所特有的,但 Angular 让它更容易被利用。
  • 我们确信,Angular 和 Firefox 之间的问题会得到缓解。我正在开发一个修复程序。

在修复程序推出以前,开发人员将无法交付使用了 Angular 1.X 的 Firefox 扩展。

查看英文原文: Angular 1.X Usage Banned in Firefox Extensions

2016 年 10 月 27 日 19:001255
用户头像

发布了 1008 篇内容, 共 313.6 次阅读, 收获喜欢 282 次。

关注

评论

发布
暂无评论
发现更多内容

2021吊打面试官必备!居然真的有人把1000道对标阿里P7面试真题最优解收录成册,全网开源!

Java王路飞

Java 程序员 架构 面试 分布式

朱嘉明:全面认知区块链的科学特征

CECBC区块链专委会

区块链

利用区块链技术,打造绿色发展的中药材生态链

CECBC区块链专委会

中药材

深入剖析数据库事务的隔离级别

小舰

数据库 事务隔离级别 数据库事务

我从外包辞职了,10000小时后,走进字节跳动拿了offer

云流

Java 编程 程序员 架构 面试

C/C++Linux服务器开发完整学习路线(含免费学习资料下载地址)

Linux服务器开发

Linux C/C++ 后端开发 Linux服务器开发 Linux后台开发

Hystrix 实战经验分享

Java王路飞

Java 程序员 架构 面试 微服务

初识Golang之安装运行篇

Kylin

golang新手 3月日更 21天挑战

大专生阿里/腾讯/京东面经分享:Java面试精选题+架构实战笔记(技术狂补)

比伯

Java 编程 架构 面试 计算机

SpringBoot配置文件数据加密自定义开发详解

程序员小毕

Java spring 程序员 面试 springboot

linux下七种文件类型

xiezhr

Linux linux操作 linux运维 linux 文件权限控制

Java 多线程 : 迟来的 Future

神奇小汤圆

Java 架构 线程

Github上堪称最全的面试题库(Java岗)到底有多香

云流

Java 程序员 架构 面试

MySQL自定义变量?学不废不收费

Java王路飞

Java MySQL 程序员 架构 面试

你是否觉得上级的能力不如你?

石云升

心理学 28天写作 职场经验 管理经验 3月日更

并发编程:一次搞定单例模式

Java架构师迁哥

10.4|PPT 教程|内容页之表格使用

青城

使用 Arthas 排查SpringBoot诡异耗时的Bug

互联网架构师小马

打击虚拟货币洗钱:中国破获比特币跨境洗钱案

CECBC区块链专委会

虚拟货币

阿里P9大牛匠心打造21版Java架构面试大全,跳槽涨薪稳了

神奇小汤圆

Java 编程 程序员 面试

SpringBoot + Mybatis实现动态数据源切换

互联网架构师小马

Spark提交后都干了些什么?

小舰

大数据 spark Spark调优

JVM之调优及常见场景分析

Java王路飞

编程 程序员 面试 JVM 调优

融合发展是区块链的未来 数字通证新模式具有划时代意义

CECBC区块链专委会

数字通证

我是如何拿到5大银行offer

小舰

面试 银行 笔试 校园招聘

实时数据流计算引擎Flink和Spark流计算对比

小舰

大数据 flink spark 流计算

你真的懂Spring解决循环依赖吗?

云流

Java 架构 Spring Boot

面面俱到!阿里分布式全栈系统设计实录Github仅上线6天星标已经高达68K!

程序员小毕

Java 架构 面试 分布式 高性能

冰河公开了其总结的一项重要的编程技能!

冰河

Java 正则表达式 程序员

备战一个月,四闯字节跳动,终圆大厂梦!(附面试经历+复习笔记)

Crud的程序员

Java 编程 程序员 架构

盘点一下数据库的误操作有哪些后悔药?

程序员小毕

Java MySQL 编程 程序员 面试

演讲经验交流会|ArchSummit 上海站

演讲经验交流会|ArchSummit 上海站

Angular 1.X在Firefox扩展开发中遭禁用-InfoQ