А какая разница, если плагин может прочитать данные из IndexedDB и отправить куда-то? Точно так же как и с localStorage. То есть чем IndexedDB безопаснее localStorage в плане безопасности?
Content scripts работают в контексте страницы, они могут например, вставить script tag в DOM. Код в этом теге будет иметь доступ к window без ограничений
у браузерных расширений есть developer.chrome.com/extensions/content_scripts, не скажу за прям сейчас, но они могли до очень недавнего времени получить доступ к любым локальным хранилищам точно такой же как и у вашего приложения.
Это верно. У меня хранится в замыкании и там и там. Когда sw умирает, он переспрашивает у приложения. Подделать запрос от sw нельзя, подделать ответ можно, но в этом мало смысла.
Затем sw перехватывает запросы с api прикрепляет к ним accessToken и отправляет на api. Fetch на sw нельзя подделать.
+ немного магии на проверки подлиности.
Спасибо
А что вы имели ввиду в этом совете?
Затем sw перехватывает запросы с api прикрепляет к ним accessToken и отправляет на api. Fetch на sw нельзя подделать.
+ немного магии на проверки подлиности.