kiav

Если не ошибаюсь, законна только при вводе вручную или при открытии из расширения. С web-страницы такие ссылки обычно открыть нельзя из соображений безопасности.

Если с веб-страницы такую ссылку попытается открыть скрипт - его безопасность тоже должна предупреждать? Все ссылки на внутренние ресурсы браузера запрещены системой безопасности для использования на веб-страницах и в скриптах веб-страниц.

Вы, видимо, меня не поняли. У FF существует очень много внутренних ресурсов, и about:config - только один из них. Многие из этих ресурсов в плане несанкционированного использования представляют гораздо большую опсаность, нежели about:config (и при этом, если удалось до них добраться, не спрашивают у пользователя никакого разрешения). В сущности, about:config - только GUI для доступа к системе настроек браузера; предупреждение при входе на эту страницу  только интерфейсный элемент (который, кстати, легко отключается) - у вас есть желание после просмотра какой-нибудь страницы обнаружить, что у вас с настройками произошло такое, что поможет только новый профиль? А поскольку с точки зрения механизма доступа about:config ничем не отличается от прочих ресурсов, то доступ к нему попадает под общее правило запрета доступа.

Разумеется. Для вирусов и троянов в том числе. Доступен ресурс из chrome-контекста - доступен и сам chrome-контекст. А этот контекст - такая штука, что с ней есть, где повеселиться.

Наберите в адресной строке chrome://global/content/config.xul, и попробуйте найти 10 отличий. about:config - это лишь псевдоним страницы, обрабатываемый с помощью custom protocol handler. С прочими about: дела обстоят абсолютно так же. Вы сами можете написать свою страничку about:blah-blah-blah, сделав свою реализацию интерфейса Components.interfaces.nsIAboutModule - как это описано здесь: https://developer.mozilla.org/En/Custom_about%3A_URLs.

с чего бы это я должен раскрывать кажому спросившему конфигурацию браузера?

ага и вирусописателям удобно список дополнений плагинов настроек путей под рукой,а еще при открытии конфига и доступ к его настройкам..

что тоже сделано из соображений безопасности иначе в ссылку можно много чего нехорошего напихать.

неверно. это обычное открытие странички с диска
а указание протокола типа chrome about resource это всего лишь способ унифицировать адрес для одного и тогоже файла который в разных системах имеет разный локальный путь, то есть фф зная базовые локальные адреса екзешника и профиля вычисляет относительный для каждого ресурса.
тот же about:config это замена такого пути
_путь до папки с файрфоксом_/firefox/chrome/toolkit.jar!/content/global/config.xul
тот же самый файл окроется при таком урл
chrome://global/content/config.xul
и при about:config

Все это похоже на отрубание рук ради безопасности.

Так это-то и неверно. Отсюда и религиозный ужас на тему безопасности. Не должны такие файлы открываться тупо, без проверок. Да судя по ссылке из документации и не открываются.

Прием некрасивый Достаточно знания, что это реально. А делать или не делать - другой вопрос. Я считаю, что лучше сделать и один раз на всех, включив необходимое в стандартные интерфейсы и библиотеки.
Похожее решение уже есть при использовании мастер пароля. Пароли в этом случаи любому желающему не выдаются.

Вот в этот nsIAboutModule и стоило бы внести дополнения, чтобы он не был только тупым транслятором адресов.

Не кипятитесь. Ваше мнение я давно учел. Оно было очевидно с первого сообщения.
Сделать это МОЖНО. Сделано с мастер-паролем и это тоже сделать можно. Причем по тому же принципу - показывать about:config при введенном мастер-пароле, если он задан.
А уж если это по каким-то причинам сделать таки нельзя, то это недоработка, а не фундаментальное ограничение ...
Прежде чем в Багзиллы писать, инфу нужно собрать. Вот такие темы как раз и подходят. Ясно, что здесь нужно начинать издалека типа feature request на тему защиты этой пресловутой странички мастер-паролем. Как только это будет сделано, будет очевидно что делать дальше. На другой подход у меня знания английского не хватит.

Странно, что никто не верещит, что есть дыра в безопасности - параметры можно менять не введя ни одного пароля, не подключив смарт-карту и не оставив отпечатка пальца. А если окажется, что это не проблема (защиты то нет), то и доступ по ссылке можно открыть.

На всякий случай: Кто считает это рассуждением о конях, не обязан здесь отмечаться. Мнение учтено, но не принято. Мое также с успехом можно не принимать. Достанет вопрос, напишу в багзиллу. И снова, могут запросто проигнорировать, если никто не поддержит. Пока я вижу, что перспективы сомнительны.

All-in-one sidebar - так вам будет проще (5 кнопка сверху)

Можно именно так и сделать. Свободный доступ к паролям сайтов без мастер-пароля никого не волнует. И это не должно.

Да, юзер.

Есть альтернативный вариант, если предыдущий не подходит. По умолчанию страница about:config вообще не должна открываться пока не установлен мастер-пароль. Вместо этой страницы - поясняющий текст.

Так можно сделать с любой страницей, в том числе в Инет. В первый раз она забирается в кеш, в остальные 9999 раз берется уже из кеша, но все равно будет многократно открыта. Паралич обеспечен. Либо нужно предусматривать общую защиту в принципе для работы с фреймами, либо делать вид, что этого быть не может.
Видимо, этот вариант и действует сейчас. Неоднократно сталкивался с неудержимым открытием страниц. Не знаю были ли это хитрые скрипты, или фреймы. Браузер приходилось убивать из диспетчера задач. Так что, как видно, это не новая проблема, а давно живущая.

Кстати, когда браузер работает правильно, он должен запоминать пароль при первом запросе, а в остальных 9999 случаев использовать уже введенный. К сожалению, лично у меня браузер запрашивает этот пароль в одной сессии больше одного раза. Багзиллу я не мучил по этому поводу. Пока не достало, да и редко повторяется. Закономерности не видно.

Добавлено 30-09-2011 08:55:38

Давайте так не будем! Мне самому может казаться, что мне отвечают демагоги.

Может кому-то это покажется смешным, но мне лично не нравится, что я не могу оставить на форуме активную ссылку на about:config. Собственно, ничего более не нужно для объяснений, этого достаточно. Есть ссылка и она должна открываться. Это обычный документ, коих много. Некоторые из них важнее других и только.

Отредактировано kiav (30-09-2011 08:55:38)

Этого нет. Получить доступ к паролям без мастер-пароля можно только имея доступ к файлам пользователя. Лиса не даёт доступ к файлам профиля из сети.
Вы предлагаете сделать в браузере потенциальную уязвимость. Единственный браузер, настройки которого можно будет менять из сети.

Человек первый раз в жизни полез в about:config чтобы поменять одну-едниственную настройку (не нравятся, допустим, скрывающиеся префиксы протоколов) а браузер - здрасти! - потребовал мастер пароль.
Получим стоны миллионов недовольных хомячков, проверено.

Куки отжили срок и сайт просит заново залогиниться. Вполне закономерно.

Не надо меня в штыки воспринимать. Я Вас оскорблять не собирался и не собираюсь. Я и без этого почти любой флейм выигрываю.

about:config это не ссылка. Ссылка это http://forum.mozilla-russia.org/ прочувствуйте: есть префикс протокола и доменная зона.

Это сервисная страница. Вы же не можете пройти в реестр по ссылке на веб-странице? Даже великий ишак (извините, извините) этого не позволяет.

потому что матчасть надо учить или хотябы читать внимательно что вам отвечают.
поясняю на пальцах
возможность открытия подобной ссылки означает что указанная ссылка и страница находящаяся по ней доступна скриптам с основной страницы а значит открыв тот адрес во фрейме я могу делась с той страницей что захочу то бишь посылать туда данные и команды и получать оттуда данные а если на той страничке есть соответствующиее скрипты то и получать команды.
тоесть открыв конфиг во фрейме я могу скриптами управлять им также как еслиб я делал это мышкой.
а это означает возможность изменения настроек браузера любым сайтом.
плюс используя тот же принцип сайт может сам тихо и без спроса установить дополнение которое будет иеть доступ уже не только к браузеру но и к системе с правами пользователя запустившего браузер, то есть у любой странички в сети появится возможность не только работы с файлами но и запуск любых программ.