JavaScript полностью «несанкционированный» переменные

Question

Итак, вот в чем проблема.

У меня есть что-то вроде:

// Dangerous __hostObject that makes requests bypassing 
// the same-origin policy exposed from other code. 
(function(){ 
    var danger = __hostObject; 
})(); 
delete __hostOBject; 

Am Я совершенно безопасно, зная, ни один скрипт не может подделать или получить доступ __hostObject?

(если они могут, у меня есть CSRF vulnerability или хуже.)

Примечание 1: Это для расширения браузера. У меня лучшие перехватчики, чем другие скрипты, запущенные на странице. Я выполняю перед ними, и я закончил, прежде чем они даже загрузились.

Примечание 2: Я знаю, что это было задано несколько раз для скриптов в целом. Мне интересно, если это возможно, если я знаю, что загружаю до любых других скриптов.

Answer 1

При удалении __hostObject код в вашем вопросе безопасен.

Однако я предполагаю, что ваш реальный код немного сложнее. В этом случае требуется очень тщательное кодирование, потому что страница может изменять встроенные методы (например, Function.prototype.call), чтобы попасть в ваше закрытие и делать все, что угодно. Я успешно злоупотреблял функциональностью инфраструктур расширения, таких как Kango и Crossrider, посредством этого метода, когда я выполнял такой тест.

Answer 2

не будет просто добавить точку останова и перезагрузки сценарий подвергать __hostObject