JavaScript：阻止执行分配给 location.href 的 javascript:-URI

Question

我目前正在为自己开发一个 webextension (Firefox:latest)，它可以阻止/捕获函数，这些函数能够评估和执行字符串作为 javascript 代码（例如，eval、Function constructor、setTimeout）。

到目前为止，扩展程序按预期工作，除了 javascript:-URIs 被分配给 location/location.href。

例如：

location.href = "javascript:alert('Hello there')";

由于位置对象是不可配置的，我不能重写它（例如，设置为 null）或为它定义一个 setter。

我知道，“Content-Security-Policy”（不允许 unsafe-inline）能够阻止这一点，但以这种方式使用 CSP 也会阻止所有其他内联代码实例（例如，脚本标签之间的代码）。 我想避免这种情况，因为它需要每个 <script>...</script> 被重新插入，例如，随机数。

这让我想到了我的问题： 有没有办法阻止/捕获这种代码执行？

Answer 1

假设您希望阻止对 href 属性设置为 javascript:alert('Hello there') 的简单链接执行 Javascript。

<a href="javascript:alert('Hello there')">Click me</a>

避免这种情况的方法之一是简单地选择所有此类链接，并将href 属性重置为无害的东西，例如javascript:void(0)。

在下面的 sn-p 中，我使用属性选择器来选择所有 href 值以 javascript 开头的元素。

var elems = document.querySelectorAll('[href^="javascript:"]');

for (var idx = 0; idx < elems.length; idx++) {
  elems[idx].href = "javascript:void(0)";
}

<a href="javascript:alert('Hello there')">Click me</a>