NoScript 是一個為 Mozilla Firefox 和 Mozilla Application Suite網頁瀏覽器 （諸如Flock、SeaMonkey等） 所開發的自由的擴充功能（Add-ons）。NoScript 以白名單選擇性執行 JavaScript、Java、Flash、Sliverlight 以及其它外掛程式和指令碼內容。[2]
 | |
| 開發者 | Giorgio Maone |
|---|---|
| 目前版本 |
|
| 原始碼庫 | |
| 作業系統 | 跨平台 |
| 語言 | 43種語言 |
| 類型 | Mozilla擴充功能 |
| 許可協定 | GPL |
| 網站 | noscript.net |
特點
在安裝之後，JavaScript、Java、Flash、Sliverlight和其它可執行內容都會被Firefox預設阻止。用戶可以手動允許這些內容。[3] NoScript會在Firefox中佔據一個工具列圖示或是一個狀態列圖示，並顯示正在瀏覽的頁面上每個站點的內容被阻止或允許的情況，同時也可以修改之前阻止或允許的內容。
對於每個頁面，可以選擇允許特定的地址，特定的域名或是根域名並執行它的內容。同時，允許一個域名之後（例如, mozilla.org），它的所有二級域名都會被預設允許（例如 www.mozilla.org, addons.mozilla.org 等等）而且與協定無關（例如HTTP和HTTPS）。而允許一個地址之後（協定:主機 例如www
頁面也可以在NoScript中被列入黑名單。把一個頁面列入黑名單不僅會阻止執行指令碼內容，同時還會去掉手動執行這些內容的選項。[5]即使安全設置低於預設值，NoScript還是可以阻擋一些網頁攻擊，例如DNS重新綁定攻擊[6]。
2007年4月11日，NoScript 1.1.4.7版公開發布[7]，新增了一個客戶端的保護，針對類型0和類型1的XSS攻擊。一旦一個頁面試圖將HTML或是JavaScript代碼插入另一個頁面，NoScript就會過濾掉有害請求。[8]
2008年9月15日，NoScript 1.8.1版公開發布[9]，使得用戶可以強制某些網站必須通過https訪問，增加安全性。此外NoScript也可以強制https網站把cookies加密來阻止cookies劫持。[10]
2009年9月23日，NoScript 1.9.8.9版增加了對HSTS的支援。[11]這一功能使得用戶在訪問支援的網站（例如，PayPal）的時候自動只通過HTTPS訪問，以防止中間人攻擊。[12]
NoScript的預設行為是阻止所有不在白名單中的指令碼。這可能使大量依賴於JavaScript技術，例如AJAX的頁面無法正常工作。不熟悉的用戶也許會覺得相比起增加的安全保護而付出的麻煩不值得。[13]
但同時NoScript也支援一個可選的黑名單模式：用戶可以選擇全域啟用JavaScript然後禁止他們不信任的站點。即便如此組態，NoScript仍然能在很大程度上增強安全性，由於仍然具有XSS、CSRF和點擊劫持等防護功能。
截至2009年5月[update], NoScript的白名單預設包含了擴充功能作者的部分域名，一些Google的域名（包括一個必要的用於顯示Google Adsense廣告的域名），雅虎以及微軟，由於這些使用了AJAX的Web郵件服務可能是某些用戶唯一熟悉的使用郵件方式，如果不這樣做，這些用戶就會在安裝NoScript之後無意地把他們自己鎖住。這個白名單是可以修改的。 [14]
獎項
評論
2009年5月1日，Firefox擴充功能Adblock Plus的作者Wladimir Palant，宣佈一周之前的NoScript 1.9.2版開始妨礙Adblock Plus正常工作。NoScript會在未經Adblock Plus和用戶允許的情況下解析並顯示贊助商頁面。Palant說NoScript使用了代碼混淆來逃避十六進制代碼層面對這個修改的檢測。[16][17]幾乎同時，Mozilla因此次事件決定修改社區準則。[18]4月30日，NoScript升級到1.9.2.3，把傳說中的代碼混淆改為了一個用戶可見的特性，即NoScript在Adblock Plus的過濾規則中將自己的網站設置為白名單。Wladimir Palant指出這個過濾規則即便被用戶刪除也會在每次啟動的時候自動添加回去，不過這看起來似乎只是個無意的Bug，因為白名單同時也可以被永久禁止或是如NoScript FAQ所說，被用戶自己的過濾規則覆蓋。[19]幾小時之後，2009年5月2日，自動更新的NoScript 1.9.2.6版徹底移除了這一白名單，並在發行記錄中對沒有在用戶事先允許的情況下修改Adblock Plus功能的行為作出公開道歉。[20]2009年5月4日，在網誌上一篇長文中，NoScript的作者Giorgio Maone以個人身份對最初含糊的說法表達了歉意，認識到這是破壞了信任關係並對此表示後悔。他同時解釋NoScript添加的Adblock Plus白名單是對EasyList反常性「攻擊」的對抗，這些攻擊針對Manoe的網站，並幾乎破壞了頁面所有的動態功能，甚至是安裝NoScript軟件套件的連結。[21]
2009年5月1日[22]以及2009年5月3日[23]在討論NoScript對Adblock Plus的修改時，有人在NoScript支援討論區中指出NoScript官網上有一個CSS規則不停讓Ghostery這個Mozilla擴充功能彈出提示，表示網頁上有奇怪而隱蔽的"bug"。Ghostery也會提示用戶Manoe網站上Google Adsense的使用。Manoe在回應中宣稱他的CSS沒有做出這些，Ghostery的提示是由於其自身的技術問題，同時這些提示看起來很糟糕而且妨礙了網頁真實效果的展示。[24]在之後的聲明中Manoe又特別批評這些提示擋住了了捐款按鈕和使用許可的顯示[25][26]並且表示他的CSS沒有阻止Ghostery的正常工作。[27]
大多數人則認為Manoe的CSS檔案包含了足夠多的統計代碼，Ghostery的判斷並沒有錯。有人指出Ghostery在其原始狀態的提示並沒有擋住Manoe的捐款按鈕，並在幾秒鐘之後就消失了。另外，用戶們指出Manoe的一行樣式使得Ghostery無法提供一個網頁bug的資訊，並認為總體上來說這是Manoe自己的問題。但Manoe仍堅稱Ghostery顯示資訊的方式不合適和過度敏感而導致兩個擴充功能出現了矛盾。
這件事的討論擴充功能到了第三方站點，[28][29]有些人謊稱干擾了Ghostery工作的是NoScript擴充功能而不是Manoe的站點。Ghostery的作者David Cancel（頁面存檔備份，存於互聯網檔案館）原先發表了一些過激言論但隨後修正了。[30]
2009年5月6日，在此事的激烈討論平息之後，Maone公開表示他改變了自己的觀點，為此他修改了自己站點的CSS。[26]Ghostery的提示框不再被隱藏而是向頁面中部輕微移動了一些，以免擋住捐款按鈕或是許可資訊。
參見
參考文獻
外部連結
Wikiwand in your browser!
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.
