NoScript ABE - 允许远程站点访问本地资源？

Question

我今天在使用 NoScript 的 ABE（应用程序边界执行器）与 FogBugz 和我们的本地源代码控制服务器的 Firefox 中遇到问题。 FogBugz 案例页面可以包含签入链接，以便您可以通过本地服务器的 Web 服务查看源代码更改。

例如：https://SomeCompany.fogbugz.com/default.asp?1234（案例页面）可能包含指向http://SourceCodeControlServer/WebSVN/filedetails.php?...的链接

请注意，SourceCodeControlServer 不是一个完全限定的域名，只是一个本地机器名。

即使在阅读了ABE Rules Syntax and Capabilities PDF 之后，它似乎也没有像宣传的那样工作，仍然在试图打开的页面顶部显示“由 ABE 过滤”的建议。关闭 ABE，或者，天堂禁止使用 MS-IE，我的优先级还不够高。

谁能提供一些关于为什么以下规则是错误的见解？

# User-defined rules. Feel free to experiment here.
Site .SourceCodeControlServer
Accept from .SomeCompany.fogbugz.com
Deny

Answer 1

NoScript 在 JavaScript 控制台 (Ctrl-Shift-J) 中记录完整的详细信息，但我最好的猜测是 FogBugz 链接达到了更高的优先级default ABE SYSTEM rule。

# Prevent Internet sites from requesting LAN resources.
# This one guards the local network, like LocalRodeo
# LOCAL is a placeholder which matches all the LAN
# subnets (possibly configurable) and localhost
# Configure more in the about:config, noscript.abe.localExtras option.
Site LOCAL
Accept from LOCAL
Deny

默认情况下，您的 WAN IP 也包含在 LOCAL 中 to prevent a specific kind of DNS Rebinding 攻击。规则的顺序很重要，第一场比赛获胜；因此，将Accept from 操作移动到Site LOCAL SYSTEM 规则中可能会起作用：

# Allow links on https://SomeCompany.fogbugz.com/ to access internal services.
Site LOCAL
Accept from LOCAL
Accept from https://SomeCompany.fogbugz.com/
Deny

买者自负；您信任来自外部公司 (FogBugz) 的网页，可以访问您的内部资源。