Chrome拡張：認証に関するベストプラクティス

Question

私はExtension APIに基づいてクロムエクステンションを開発しています。私は自分のオンラインサービスに対して認証する必要があります。私は、ドキュメントをたくさん読んで、私は私がOAuth2を使用する必要があることを知っていると私はlaunchWebAuthFlowを使用して作業ログインを得ることができたchrome.identity.launchWebAuthFlow https://developer.chrome.com/apps/app_identity#update_manifest

私はおそらく使用すべきであるということ。唯一の問題は、すでにブラウザセッションを使用してログインしていても認証を行いたいということです。したがって、拡張機能の認証システムはブラウザ内の認証システムとは分離されています。

Grammarlyのような拡張機能は、ブラウザでGrammarlyにログインしているかどうかを検出し、それに基づいてポップアップコンテンツを調整します。私はソースコードを見てから、セッションを検出するためにクッキーを使用しているようです。エクステンションはクッキーにアクセスできます

chrome.cookies.get({ url: 'http://localhost:8777', name: 'sessionid' }, 
    function (cookie) { 
     if (cookie) { 
     console.log(cookie.value); 
     } 
     else { 
     console.log('Can\'t get cookie! Check the name!'); 
     } 
    }) 

これは本当にExtension APIの仕組みですか？より安全なIdentity APIを使用して（IMHO）ブラウザセッションを再利用することはできませんか？

Answer 1

あなたが気づいたように、launchWebAuthFlowは既存のブラウザセッションを活用しません。タブ権限がある場合は、urn:ietf:wg:oauth:2.0:oob:autをリダイレクトURLとして使用して、window.titleからoauth許可を読み取ることができます。詳細は、other answerを参照してください。 This SA answerにはサンプルコードがあります。