CosenseのUserScriptでCSPを回避する
課題: CosenseのCSPには以下の制約がある
localhost は含まれていない
fetch('http://localhost:3456/...') はブロックされる
script-src (csp)の制限
code:_
script-src 'self' cdnjs.cloudflare.com maps.googleapis.com 'unsafe-eval' ...
unsafe-inlineは含まれていない
<script> タグのインライン実行はブロックされる
unsafe-evalは含まれている
eval() は許可されている
解決策: Tampermonkeyを使う
CSP回避のためGM_xmlhttpRequestでfetchする
unsafe-evalがあるのでunsafeWindow.eval() で実行できる
必須ヘッダ
code:_
// @grant GM_xmlhttpRequest
// @grant unsafeWindow
// @connect localhost
// @run-at document-idle
@grant unsafeWindow が必須
@grant GM_xmlhttpRequest を指定するとサンドボックスが有効になり、ページの scrapbox オブジェクトに直接アクセスできなくなる
例えばunsafeWindow.scrapbox.PopupMenu でPopupMenu APIにアクセスできる