steven026 发表于 2022-12-16 11:33
0.0
油猴好像不共享
共享感觉的确会有安全问题 我之前自动登录账号密码都是存在Value里面的
是的油猴不共享，这是脚本猫的特性
确实会有安全问题，如此就得注意了。我想一下改进方案，可能提供一个API，申请加入共享，然后弹出一个框框用户确定
极品小猫 发表于 2022-12-16 11:20
就是由API去算文件的Hash并记录，不匹配的时候进行拒绝并警告
0.0没有理解，如此上传下载文件时还得记录这个hash？
王一之 发表于 2022-12-16 11:41
0.0没有理解，如此上传下载文件时还得记录这个hash？
总之得考虑好各方面的安全问题，毕竟这不是download API加个扩展类型的白名单的事情
要是API不具备token，很难想像后果
有了token，文件只能存在脚本对应token的位置去，防止其它脚本篡改，最大保障脚本自身的安全性。
可以提供公共目录，但是必须有授权提醒，有授权记录，同时建立扩展白名单制度，只能存取文档、图片、媒体元素，压缩包。可以参考TM的下载文件白名单。
目前脚本猫没有精力去审查脚本，require也没有限制，作恶太容易。如果可能的话，最好针对公共目录能建立log
好像一下子给一之GG好大压力，先完成token，自己玩自己的就好了吧{:4_110:}
不管怎样，一之GGNB~！赛高~破音~！
王一之 发表于 2022-12-16 11:40
是的油猴不共享，这是脚本猫的特性
确实会有安全问题，如此就得注意了。我想一下改进方案，可能提供一个 ...
感觉可以区分公共存储和私有存储
公共存储按storageName共享，私有存储只有脚本自己能访问到通过uuid辨别？
极品小猫 发表于 2022-12-16 12:18
总之得考虑好各方面的安全问题，毕竟这不是download API加个扩展类型的白名单的事情
要是API不具备token ...
@steven026
关于哥哥说的token是不是就是一个私有的储存空间？
直接的使用@stroageName来指定公共的储存空间确实容易产生恶意脚本篡改的问题，经哥哥们这么一说，觉得value的@storageName也得加上一些限制。
文件这里可以和哥哥们说的一样提供两个储存空间，一个私有的储存空间和公有的储存空间，在操作时通过一个参数指定是将文件储存在私有的还是公有的。
如果是公有的那么将会和GM_xhr一样弹出一个窗口需要用户确认。
初版先只实现私有的吧，公有的再斟酌斟酌
极品小猫 发表于 2022-12-16 09:09
加入Hash校验？
主要是怕保存重要数据会被恶意读取
要是能校验就直接require了，这种需求应该是无法提前确定文件内容的。
我有个简单的想法，脚本猫内置一个UUID算法，然后鼓励开发者都使用UUID作为storageName（公开发布的脚本作强制要求？），这样如果两个毫不相干的脚本使用了相同的UUID，那基本是想干坏事的，审查起来容易点。用户一方可以在安装时检查storageName，有相同的弹警告，用户自己判断两个脚本有没有关联。
cxxjackie 发表于 2022-12-16 20:41
我有个简单的想法，脚本猫内置一个UUID算法，然后鼓励开发者都使用UUID作为storageName（公开发布的脚本作 ...
我还是希望这个有意义一点
另外脚本也不一定是从脚本站安装去的，可以是其他平台，GitHub等地方
王一之 发表于 2022-12-16 21:45
我还是希望这个有意义一点
另外脚本也不一定是从脚本站安装去的，可以是其他平台，GitHub等地方 ...
对每个脚本弄一个独立空间应该就行了吧，脚本之间我觉得不必共享。
不过就算隔离了各个脚本，电脑里的其他软件还是可以访问这个文件，进而改变脚本的行为。所以最好也对本地文件进行加密，但是这个密码不应该由脚本作者设置，可以是用户自己设置，或者插件随机生成。
但加解密会影响性能，速度和安全性两难全，我觉得还应该有一些自定义参数，是否加密、所选加密算法这些，只是主密码由系统提供而不是脚本自身。
另外独立空间还有一个好处，就是用户卸载脚本的时候，可以很方便清理掉脚本生成的所有文件。
voeoc 发表于 2022-12-16 23:56
对每个脚本弄一个独立空间应该就行了吧，脚本之间我觉得不必共享。
不过就算隔离了各个脚本，电脑里的其 ...
电脑里的其他软件改变这个就不考虑了。。。。。都可以这样了，改变你浏览器/劫持你网页也不成问题
初步先只实现独立空间，有需求再看看共享空间