Как снести все скрипты на странице?

Question

[zkrvndm]

Как снести все скрипты на странице? Обработчики, таймеры - всё, всё, всё. Раньше для этих целей использовал:

document.write(''); document.close(); // Запускал из контент-скрипта своего браузерного расширения

После чего спокойно загружал на станицу уже свое содержимое, будучи уверенным, что скрипты сайта мне уже ничего не поломают. К сожалению, оказалось, что в браузере Firefox это не работает =( Может подскажет кто решение для Firefox?

Comments

[WbICHA]

document.open()?

[zkrvndm]

WbICHA, неа, не помогает. Все равно пишет, что это небезопасно и не дает. При этом если в консоли ручками вводить все норм, а вот через контент-скрипт уже хренушки.

[Димон Дурак]

Надим Закиров, глянь тут

[profesor08]

Какая стоит изначальная задача?

[Aetae]

profesor08, полагаю через расширение заменить интерфейс какого-то сайта на свой, или что-то в этом роде.

[zkrvndm]

profesor08, залить на целевую страницу своего бота, бот автоматизирует рутинные операции на сайте и создает удобный лично мне интерфейс. На хроме никаких проблем с этим нет, но вот решил я переписать некоторые свои расширения под Firefox и столкнулся с такой проблемой.

P. S. Я почему свой код загружаю именно на страницу сайта - это чтобы при запросах на API этого сайта Referer был правильный и CORS не мешал. Однако это действительно только для Google Chrome. Я заметил что в Firefox можно спокойно редактировать исходящие и входящие заголовки, а значит по идее мне ни что не мешает запускать свой код не на целевой странице, а просто тупо с новой вкладки. Наверное так и буду делать, просто придется много чего переписать.

Answer 1

[GrayHorse]

Запретить выполнение JS кода (как инлайн, так и загружаемого) можно с помощью Content Security Policy (CSP) заголовков, как это делают NoScript расширения, в частости, uBlock Origin.

Хотя не уверен, что в таком случае можно выполнить свой код в контексте веб страницы (не в в контексте контент скрипта), хотя, вероятно, можно разрешить сделать это, указав hash/nonce своего кода, в качестве разрешенного к выполнению (опять же — в CSP заголовке).

Answer 2

[zkrvndm]

Спасибо Aetae за подсказанное решение, которое работает в Firefox:

document.wrappedJSObject.write(''); document.close();

Если запустить метод из контент-скрипта в своем расширении еще до начала отрисовки DOM, то это позволяет предотвратить запуск скриптов сайта, а далее на страницу уже можно спокойно залить свое содержимое.

Answer 3

[Николай Савельев]

Можно поставить AdBlock и прописать фильтр для скриптов по маске *.js

Answer 4

[profesor08]

Вот конфиг и описание: https://developer.chrome.com/docs/extensions/mv2/c...
Для firefox https://developer.mozilla.org/en-US/docs/Mozilla/A...

Если это позволит подчистить html от лишнего, то хорошо, иначе придется смириться с тем, что все скрипты идущие со страницей будут выполнены.

P.S. На выполнение скриптов можно забить и построить собственную html страницу. Которая никак не будет с ними взаимодействовать.

Comments

[zkrvndm]

Не совсем понимаю, точнее совсем не понял. Что вы предлагаете? Просто удалить все теги script со страницы? Так это не сработает. Уже запущенные таймеры, обработчики, анонимные функции останутся работать, даже если удалить код, который их вызвал.

[profesor08]

Надим Закиров, откуда такие выводы? В документации все четко обозначено. Если не подходит, тогда только останется смириться и пересобрать html.

[zkrvndm]

profesor08, да что не подходит то? Я по прежнему не понимаю, что вы предлагаете использовать.

[profesor08]

Надим Закиров, сдаюсь, я не в силах побороть нежелание читать документацию, разбираться и пробовать.

[zkrvndm]

profesor08, я в курсе про контент-скрипты и возможность выбирать, когда именно на каком этапе загрузки страницы их запускать. Но я по прежнему не понимаю, каким боком это являлось бы решением моего вопроса?

[profesor08]

Надим Закиров, скрипт запустится раньше всех остальных, так? Ну тогда ты можешь удалить вообще все. Если это не получается, значит придется смириться, что они будут выполнены. Но если они мешают, то можно самому перезаписать весь html, таким образом он не будет связан со скриптами, и они не будут на него влиять. Если не понятно, то поможет толковый словарь, чтоб слова стали понятны, еще проще никак не написать.

[zkrvndm]

profesor08, то что контент-скрипт запустился раньше всех еще не дает возможности удалить остальные скрипты на странице классическими removeChild или innerHTML - чтобы их удалить таким способом надо для начала дождаться построения DOM, а при готовности документа автоматом уже запускаются скрипты со страницы и удалять их поздно.

Я поэтому и использую document.write в Chrome, что он дает возможность переписать страницу не дожидаясь события DOMContentLoaded.

P. S. К слову, решение проблемы для Firefox уже найдено и оно работает:
https://qna.habr.com/q/1097974?e=12174508#clarific...
Теперь просто ждем когда автор комментария добавит его как ответ и я отмечу его решением.

Answer 5

[Антон Романков]

Если надо вычистить DOM от скриптов, то вот так:

document.querySelectorAll('script').forEach(item => item.remove())