javascript - 是否可以通过用户脚本检测页面修改？

This question already has answers here:

Can a website know if I am running a userscript?

                                    （2个答案）


                6年前关闭。



如果您有网站，能否以某种方式找出访客是否正在使用javascript用户脚本修改您的网站？

最佳答案

简而言之：EEEEEEK！不要做！而是，确定需要保护的内容，并加以保护。避免不惜一切代价进行轮询（定期检查）。特别是，避免定期对任何东西进行大量检查。

并非所有更改都可以跟踪。大多数变化很难追踪，因为有太多事情可能会变化。

可以检测到DOM的更改（新节点，删除的节点，更改的属性）。另一个答案建议定期检查innerHTML，但最好使用mutation observers（受Firefox，Chrome支持）或较旧的突变事件（DOMSubtreeModified等）（支持因事件而异）。

标准方法的更改无法可靠地检测到，除非手动比较每个方法和属性（eeeek）。这包括需要引用大量对象，例如Array.prototype.splice（当然还有Array和Array.prototype），并定期运行繁重的脚本。但是，这不是用户脚本通常要做的。

输入的状态是属性，而不是属性。这意味着文档HTML不会更改。如果状态通过脚本更改，则change事件也不会触发。同样，唯一的解决方案是手动轮询每个输入（eeek）。

没有可靠的方法来检测是否已附加事件处理程序。对于初学者，您需要保护onX属性（第2段），检测对addEventListener（ek）的任何调用（不触发第2段检查），并检测库对相应方法的任何调用（ jQuery.bind和其他几个）。

一件有利于您的事情，可能只有一件：用户脚本在页面加载时运行（永远不会很快），因此您有足够的时间准备防御措施。 not even that plays in your favor（感谢Brock Adams的注意和链接）

您可以通过用自己的（ek）替换标准方法来检测标准方法已被调用。您需要用这种方法（eek）来检测许多方法，有些方法是浏览器，有些是框架。 IE（甚至可以指教firefox，感谢@Brock）不会让您接触DOM类的原型这一事实为“ eek”增加了另一个“ e”或“ e”。某些方法只能通过方法调用获得的事实（返回值，回调参数）会添加另一个“ e”或两个“ eeek”。在整个window中进行爬网的想法将被安全性异常和不可捕获的安全性异常阻止。也就是说，除非您不使用iFrame，并且您不在iFrame中。

即使您检测到每个方法调用，都可以通过写入innerHTML来更改DOM。 Firefox和Chrome支持突变观察者，因此您可以使用它们。

即使您检测到对现有方法的每个方法调用并侦听突变，大多数属性都不会反映出来，因此您也需要注意每个对象的所有属性。祈求某人不要用您永远不会猜到的键添加不可枚举的属性。顺便说一句，这也将捕获DOM突变。在ES6中，可以观察对象的属性集。我不确定是否可以将设置器附加到ES5中的现有对象属性（同时遵循ES3语法）。轮询每个属性都很容易。

当然，您应该允许自己的脚本进行一些更改。工作流程将是设置一个标志（无法从全局范围访问！）“我是合法的”，做好您的工作，然后清除该标志-记住也要在所有回调中添加侧面标志。然后，方法观察者将检查标志是否已设置。属性看门狗将很难检测到更改是否有效，但是可以从脚本中对每个合法更改进行通知（手动；再次；确保用户脚本看不到该通知流）。 eek

一开始我没有意识到一个完全不同的问题：用户脚本在页面加载时运行，但是它们也可以创建iFrame。用户脚本并不是完全可以理解的（但现在仍然不太可能）：1）检测到脚本阻止程序，2）从轨道上挪动页面（您不能阻止document.body.innerHTML =，至少在不严重篡改document.body的情况下）），3）插入具有原始URL的单个iframe（防止在服务器端双重加载？）和4）在加载保护之前，有足够的时间对该空iframe进行操作。

另外，请参见the duplicate found by Brock Adams，其中显示了我认为不应该执行的其他几项检查。

关于javascript - 是否可以通过用户脚本检测页面修改？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/14745460/

上一篇：javascript - jquery hide 隐藏并立即再次显示

下一篇：javascript - 从 json 文件中提取数据

相关文章：

javascript - 我如何制作一个外观和行为都像切换按钮的浏览器操作按钮

security - UTF-8 字符编码是否会对 Web 应用程序造成任何安全隐患？

android - 有没有办法将现有网站用作 Android 应用程序？

javascript - 删除匿名事件监听器

javascript - D3 map 投影不显示 map

javascript - 如何从不包含搜索关键字的字符串数组中删除字符串？

javascript - 应用过滤器后元素被删除

eclipse - 无法使用 Tomcat 启动欢迎页面

javascript - 双击 HTML 中的链接时防止默认的单击事件

javascript - Greasemonkey POST 请求总是返回 400 错误