Wie deaktiviere ich CSP in Firefox nur für Lesezeichen?

Heute ist mir aufgefallen, dass ich auf https://github.com/ aufgrund von CSP-Einschränkungen (Content Security Policy) keine Lesezeichen ausführen kann. Gibt es eine Möglichkeit, CSP in Firefox nur für Lesezeichen und nicht für alles andere zu deaktivieren?

Mir ist die security.csp.enableOption in aufgefallen about:config, aber dies würde CSP vollständig deaktivieren. Die folgende Meldung wird beim Aktivieren eines Bookmarklets in der Konsole protokolliert:

Timestamp: 04/22/2013 02:39:05 PM
Warning: CSP WARN:  Directive inline script base restriction violated

Source File: https://github.com/
Line: 0
Source Code:
javascript:...

Sie können versuchen, Ihre Lesezeichen in GreaseMonkey- Benutzerskripte zu konvertieren . Sie werden in einer privilegierten Umgebung ausgeführt und unterliegen nicht dem CSP.

Die Absichten von User-Skripten und Bookmarklets sind natürlich unterschiedlich - User-Skripten werden automatisch ausgeführt, während Bookmarklets bei Bedarf verfügbar sind. Sie können dies umgehen, indem Sie z. B. <button>im UserScript ein erstellen, an die Seite anhängen und einen onclickEreignis-Listener für diese Schaltfläche festlegen, um den Code des Bookmarklets auszulösen.

Code sollte so aussehen:

// ==UserScript==
// @name            Name
// @description     Description
// @version         0.1
// @namespace       example.Lekensteyn
// @grant           none
// @include         http*://github.com/*/*/commit/*
// ==/UserScript==

var myBookmarklet = function () {
    // here goes the code of the bookmarklet
};

var newButton = document.createElement('button');
newButton.innerHTML = 'Execute my bookmarklet';

newButton.addEventListener('click', function(evt) {
    myBookmarklet();
});

document.getElementById('someElement').appendChild(newButton);

Fast wörtlich genommen aus meinem Userscript, das auch GitHub anspricht . Sie können Benutzerskripte in Firebug mit dem debugger;Schlüsselwort im Skript debuggen .

Beachten Sie jedoch, dass Firebug selbst vorerst ebenfalls CSP unterliegt, sodass Sie beispielsweise keinen Code in der Konsole ausführen können (Sie können jedoch Ihre Benutzerskripte im "schreibgeschützten" Modus überprüfen). Dies wird in diesem Fehler behoben .

Github sagt, dass es nach der Spezifikation funktionieren sollte, aber kein Browser bekommt es richtig:

https://github.com/blog/1477-content-security-policy#bookmarklets

Sie sollten einen Fehler für Ihren bevorzugten Browser für dieses Problem öffnen oder dafür stimmen:

• Firefox: https://bugzilla.mozilla.org/show_bug.cgi?id=866522
• Chromium: https://code.google.com/p/chromium/issues/detail?id=233903

Viele Antworten empfehlen Benutzerskripte (wie TamperMonkey oder GreaseMonkey), aber ich möchte daran erinnern, dass einige Seiten aus einem bestimmten Grund von diesen Erweiterungen auf die schwarze Liste gesetzt werden. (Sicher, Sie können die schwarze Liste überschreiben, aber die Entwickler hatten Sicherheit im Sinn und haben diese Seiten gesperrt).

Zum Beispiel wollte ich ein Lesezeichen verwenden, um schnell von einem Amazon-Eintrag zu ReviewMeta zu gelangen, aber Amazon hat unsichere Skriptquellen blockiert (Update: Es wurde nicht blockiert, aber ich hatte kein Skript aktiviert, es ist eine Schande). Die Benutzerskripterweiterungen werden standardmäßig auf Bank- und Einkaufsseiten auf die schwarze Liste gesetzt, um zu verhindern, dass böswillige Benutzerskripte installiert / verwendet werden.

(PS: Dies ist an sich keine Antwort, aber ich dachte, es wäre nützlich, dies zu bedenken, bevor Sie ein User-Skript in die Hand nehmen, um die Seite auf der schwarzen Liste zu finden und zu zögern, die schwarze Liste aufzuheben.)

Ich habe ein Workaround "Fix" für dieses Problem mithilfe eines Greasemonkey-Benutzerskripts (in Firefox) erstellt. Sie können jetzt Lesezeichen auf allen CSP- und https: // -Sites speichern und Ihre Lesezeichen in einer ansprechenden, einfach zu bearbeitenden Bibliotheksdatei speichern, anstatt sie einzeln als Lesezeichen zu speichern.

Siehe: https://groups.google.com/d/msg/greasemonkey-users/mw61Ynw5ORc/Gl_BNUhtSq0J

Wenn Sie Ihre Lesezeichen auf CSP-fähigen Websites in Firefox ausführen möchten, können Sie CSS-Stylesheets verwenden. Weitere Informationen finden Sie unter Meine Antwort auf StackOverflow .