Chrome onAuthRequired: comproveu isProxy abans d'enviar credencials
La devolució de trucada d'autenticació de Chrome pot descriure un desafiament de servidor intermediari o un desafiament d'origen. Proporcionar les mateixes credencials a tots dos és un error d'abast de credencials.
Una extensió del navegador pot trobar desafiaments d'autenticació des de dos llocs diferents: el servidor intermediari que transporta la sol·licitud i el lloc web de destinació. No han de rebre automàticament el mateix compte.
El discriminador útil a l'esdeveniment webRequest.onAuthRequired de Chrome és isProxy. Una devolució de trucada que elimina aquesta comprovació només per fer desaparèixer un missatge pot començar a subministrar credencials del servidor intermediari a un desafiament d'origen.
Feu coincidir el servidor intermediari en què voleu confiar
Comprovar isProxy és un començament. Restringiu també el tractament al desafiador intermediari esperat i al context de la sol·licitud. Una extensió que gestiona diversos punts finals ha de seleccionar el compte corresponent a aquell punt final, no una única contrasenya global per a cada desafiament.
No assumiu que establir la ruta del servidor intermediari i gestionar-ne l'inici de sessió són un sol permís o una sola crida a l'API. Chrome els documenta per separat. Feu servir la referència actual de webRequest per a les dades d'esdeveniments i els permisos d'autenticació. Un exemple de registre d'oient de Manifest V3 mostra el registre síncron i la selecció de compte dins de la devolució de trucada.
Comproveu la generació del manifest
Els exemples que esmenten una API WebRequest experimental provenen de versions antigues de l'extensió. Els requisits actuals de permisos depenen de la generació del manifest de l'extensió i del model de desplegament. En particular, el tractament de l'autenticació té el seu propi camí de permisos admès; un exemple obsolet d'oient bloquejant no n'hi ha prou per establir que una extensió Manifest V3 el pugui executar sense canvis.
Un gestor correcte també ha d'evitar reintentar indefinidament les mateixes credencials rebutjades. Tracteu un segon desafiament després d'un compte subministrat com a evidència per investigar, no com una sol·licitud de reproduir la contrasenya per sempre.
Les credencials haurien de romandre al camí de tractament protegit adequat de l'extensió. No les publiqueu en un fitxer PAC ni les codifiqueu directament en una mostra distribuïda. L'objectiu és un inici de sessió intermediari d'abast estret, no una regla per a tot el navegador que respongui cada desafiament d'autenticació amb el mateix secret.