工单节点使用指南
• 请用平和的语言准确描述你所遇到的问题
• 厂商的技术支持和你一样也是有喜怒哀乐的普通人类，尊重是相互的
• 如果是关于 V2EX 本身的问题反馈，请使用 反馈 节点
致所有 UserScript 开发者与用户，请检查你开发/使用的脚本是否有这样的漏洞。
imdong · 2020-05-26 15:01:20 +08:00 · 1829 次点击这是一个创建于 1636 天前的主题，其中的信息可能已经有所发展或是发生改变。
如果你开发 /使用的 UserScript 脚本中申请了 GM_xmlhttpRequest 权限，请检查是否有将 GM_xmlhttpRequest 函数传入了 unsafeWindow。
如果有，则使用此脚本的用户在访问有恶意的内容的网站时，可能会导致 @connect 中授权的网站受到攻击或控制。
首当其冲的是 GreasyFork 等类似网站上发布过脚本的开发者，请不要保持登录。
虽然不知道是否有这样的脚本攻击，但的确可以实现通过修改你的脚本来传播漏洞 /恶意脚本的风险。
不太确认这样说是不是有点小题大做，但是是有一定风险的，特别是 GreasyFork 修改密码还不需要确认旧密码。
4 条回复 • 2020-05-26 17:05:32 +08:00
 |
1
dbw9580 2020-05-26 16:13:32 +08:00 via Android  1
https://wiki.greasespot.net/UnsafeWindow
这是 feature，不是 bug |
 |
2
Mutoo 2020-05-26 16:20:29 +08:00
所以叫 unsafe* 是有原因的。
|
 |
3
imspace 2020-05-26 16:31:59 +08:00
讲道理没什么人会这么写吧.... unsafeWindow.GM_xmlhttpRequest = GM_xmlhttpRequest, UserScript 自己有自己的 scope, 为什么还要放到原 window 里?
|
Select Language