如何在没有网上应用店的情况下信任谷歌浏览器中的扩展程序？

Question

为了在我的部门内部使用，我编写了一个Chrome扩展。它在开发人员模式下工作正常，并通过附加.crx-文件的电子邮件将其交付给我的同事。他们打开chrome://extensions并拖放到那里。消息

下降安装扩展

出现，安装Chrome扩展，它就像一个魅力。

然而，Chrome浏览器的第一个重新启动时，会出现一条消息，铬停用不支持扩展。

的链接，帮助页面Extensions disabled by Chrome被添加到该消息，并指出：

为了保护你，而你浏览时，Chrome只允许您使用已发布的Chrome网上应用店的扩展。

虽然我明白了原因，有没有其他方式可以明确告诉Chrome扩展是安全的？因为发布到webstore的扩展不是可以接受的。

我没有管理权限，所以没有更改注册，也没有活动目录是可能的。

Answer 1

没有一种没有域级管理的方法来完成这项工作。你不能只让用户“说”它是安全的，因为用户“说”某事很可能是攻击者。为了解决这个问题，任何机制都会被攻击者和不愿意的公司用来在浏览器中添加更多的垃圾。

Answer 2

如上所述，您需要Active Directory级别的策略来白名单/自动安装扩展。见Policy List。

Chrome将使用许多防御机制来检测和打击其他欺骗行为。立场很简单：任何非特权用户都可以使用任何其他软件来移植恶意软件。

但是，您应该考虑在CWS中发布。

1. 这是可以做到非上市;除非有人拥有列表链接，否则扩展程序将无法被发现。

   这种方法将呈现链接的泄漏的风险，但当前的传送机制crx可以泄漏为好;一般来说，复制保护扩展基本上是不可行的。

2. 这可以超过账户强迫控制来实现;您可以发布到Google集团的“可信测试人员”，他们将成为唯一可以查看该列表的人员。如果你不能登录到Chrome中的谷歌帐户

   将无法​​工作。

3. 这可以强制执行只能域的用户访问被公布 - 如果你使用GAPPS为您的工作。

如果您的扩展在某种程度上受到CWS策略的质疑，上述所有可能无法正常工作;如果您因为这个确切原因无法发布，并且无法使用AD策略，恐怕您是SOL。