如何在没有网上应用店的情况下信任Google Chrome中的扩展程序？

Question

在我的部门内部使用时，我编写了Chrome扩展程序。它在开发人员模式下工作正常，我通过电子邮件附加.crx - 文件将其发送给我的同事。他们打开chrome://extensions并将其拖放到那里。消息

  

删除以安装扩展程序

出现了，Chrome安装了扩展程序，它就像一个魅力。

尽管如此，在第一次重启Chrome时，会显示一条消息，说明Chrome停用了不受支持的扩展程序。

帮助页面Extensions disabled by Chrome的链接已添加到邮件中，并说明：

  

为了在您浏览时保护您，Chrome只允许您使用Chrome网上应用店中发布的扩展程序。

虽然我理解原因，但是有没有其他方式用户可以明确告诉Chrome扩展程序是否安全？有些努力是可以接受的，因为发布扩展到网上商店不是。

我没有管理员权限，因此无法更改注册表或活动目录。

Answer 1

如上所述，您需要Active Directory级别策略来白名单/自动安装扩展。请参阅RFC 959。

Chrome将使用许多防御机制来检测和对抗其他技巧。立场很简单：任何非特权用户都可以做任何其他软件来植入恶意软件。

但是，您应该考虑在CWS中发布。

1. 这可以在不公开的情况下完成;除非某人有列表链接，否则扩展名不会被发现。

   这种方法会带来链接泄漏的风险，但您当前的交付机制crx也可能泄漏;一般来说，复制保护扩展基本上是不可行的。

2. 这可以通过强制控制帐户来完成;您可以向Google小组发布“受信任的测试人员”，他们将是唯一可以查看该商家信息的人。

   如果您不允许在Chrome中登录自己的Google帐户，

   无法工作。

3. 如果您使用GApps进行工作，则可以通过强制访问您域名的用户来发布此内容。

如果您的扩展程序在某些方面受到CWS政策的质疑，则上述所有内容可能都不起作用;如果由于这个原因无法发布，并且无法使用广告政策，我恐怕你是SOL。

Answer 2

如果没有域级别管理，就没有办法让这项工作成功。你不能让用户“说”它是安全的，因为用户“说”某些东西很可能是攻击者。任何解决这个问题的机制都会被攻击者和无意义的公司用来在浏览器中添加更多垃圾。