Facebook如何禁用浏览器集成的开发人员工具？

小开

我无法让它在任何页面上触发它。一个更强大的版本可以做到这一点：

window.console.log = function(){console.error('The developer console is temp...');window.console.log = function() {return false;}}
console.log('test');

为输出设置样式：JavaScript控制台中的颜色

编辑思考@陈志立有正确的想法：从控制台禁用JavaScript执行"::： KSpace::：

小开

最佳答案

我是Facebook的安全工程师，这是我的错。我们正在为一些用户测试这个，看看它是否可以减缓一些攻击，用户被欺骗将（恶意）JavaScript代码粘贴到浏览器控制台。

只是要清楚：试图阻止黑客客户端一般是坏主意；这是为了防止特定社会工程攻击。

如果您最终进入测试组并为此感到恼火，对不起。我试图使旧的选择退出页面（现在帮助页面）尽可能简单，同时仍然足以阻止至少一些的受害者。

实际的代码与@joeldixon66的链接非常相似；我们的有点复杂，没有充分的理由。

Chrome封装所有控制台代码

with ((console && console._commandLineAPI) || {}) {<code goes here>}

…所以网站重新定义了console._commandLineAPI来抛出：

Object.defineProperty(console, '_commandLineAPI',{ get : function() { throw 'Nooo!' } })

这是还不够（试试吧！），但这是主要技巧。

结语：Chrome团队认为击败来自用户端JS的控制台是bug和解决了这个问题，使该技术无效。之后，在保护用户免受自xss中添加了额外的保护。

小开

我使用Chrome开发工具找到了Facebook的控制台克星脚本。这是易读性略有更改的脚本。我删除了我无法理解的部分：

Object.defineProperty(window, "console", {value: console,writable: false,configurable: false});
var i = 0;function showWarningAndThrow() {if (!i) {setTimeout(function () {console.log("%cWarning message", "font: 2em sans-serif; color: yellow; background-color: red;");}, 1);i = 1;}throw "Console is disabled";}
var l, n = {set: function (o) {l = o;},get: function () {showWarningAndThrow();return l;}};Object.defineProperty(console, "_commandLineAPI", n);Object.defineProperty(console, "__commandLineAPI", n);

这样，控制台自动完成会静默失败，而在控制台中键入的语句将无法执行（将记录异常）。

参考文献：

小开

除了重新定义console._commandLineAPI之外，还有其他一些方法可以在WebKit浏览器上闯入InjecttedScriptHost，以防止或更改对输入开发人员控制台的表达式的评估。

编辑：

Chrome在过去的版本中修复了这个问题。-这一定是在2015年2月之前，因为我当时创建了要点

所以这是另一种可能性。这一次，我们在上面的一个级别直接连接到InjectedScript而不是InjectedScriptHost，而不是之前的版本。

这是一种很好的方式，因为您可以直接修补InjectedScript._evaluateAndWrap而不必依赖InjectedScriptHost.evaluate，因为这可以让您更精细地控制应该发生的事情。

另一个非常有趣的事情是，我们可以在评估表达式时拦截内部结果，并将返回该传递给用户，而不是正常行为。

这是代码，当用户在控制台中评估某些内容时，它会返回内部结果。

var is;Object.defineProperty(Object.prototype,"_lastResult",{get:function(){return this._lR;},set:function(v){if (typeof this._commandLineAPIImpl=="object") is=this;this._lR=v;}});setTimeout(function(){var ev=is._evaluateAndWrap;is._evaluateAndWrap=function(){var res=ev.apply(is,arguments);console.log();if (arguments[2]==="completion") {//This is the path you end up when a user types in the console and autocompletion get's evaluated
//Chrome expects a wrapped result to be returned from evaluateAndWrap.//You can use `ev` to generate an object yourself.//In case of the autocompletion chrome exptects an wrapped object with the properties that can be autocompleted. e.g.;//{iGetAutoCompleted: true}//You would then go and return that object wrapped, like//return ev.call (is, '', '({test:true})', 'completion', true, false, true);//Would make `test` pop up for every autocompletion.//Note that syntax as well as every Object.prototype property get's added to that list later,//so you won't be able to exclude things like `while` from the autocompletion list,//unless you wou'd find a way to rewrite the getCompletions function.//return res; //Return the autocompletion result. If you want to break that, return nothing or an empty object} else {//This is the path where you end up when a user actually presses enter to evaluate an expression.//In order to return anything as normal evaluation output, you have to return a wrapped object.
//In this case, we want to return the generated remote object.//Since this is already a wrapped object it would be converted if we directly return it. Hence,//`return result` would actually replicate the very normal behaviour as the result is converted.//to output what's actually in the remote object, we have to stringify it and `evaluateAndWrap` that object again.`//This is quite interesting;return ev.call (is, null, '(' + JSON.stringify (res) + ')', "console", true, false, true)}};},0);

有点冗长，但我想我加了些评论

因此，通常情况下，例如，如果用户评估[1,2,3,4]，您会期望以下输出：

在monkeypatchInjectedScript._evaluateAndWrap评估相同的表达式后，给出以下输出：

如您所见，指示输出的左箭头仍然存在，但这次我们得到了一个对象。表达式的结果，数组[1,2,3,4]表示为一个对象，并描述了其所有属性。

我建议尝试评估这个和那个表达式，包括那些会产生错误的表达式。这很有趣。

此外，看一下is-#1-对象。它提供了一些方法来玩并深入了解检查器的内部。

当然，您可以拦截所有这些信息，并仍然将原始结果返回给用户。

只需用console.log (res)和return res后面的console.log (res)来替换其他路径中的返回语句。然后你会得到以下内容。

编辑结束

这是Google修复的先前版本。因此不再是一种可能的方式。

~~其中一个正在连接Function.prototype.call~~

~~Chrome计算输入的表达式，方法是calling它的val函数，InjectedScriptHost为thisArg~~

var result = evalFunction.call(object, expression);

鉴于此，您可以侦听call中的thisArg是evaluate并获取对第一个参数的引用（InjectedScriptHost）

if (window.URL) {var ish, _call = Function.prototype.call;Function.prototype.call = function () { //Could be wrapped in a setter for _commandLineAPI, to redefine only when the user started typing.if (arguments.length > 0 && this.name === "evaluate" && arguments [0].constructor.name === "InjectedScriptHost") { //If thisArg is the evaluate function and the arg0 is the ISHish = arguments[0];ish.evaluate = function (e) { //Redefine the evaluation behaviourthrow new Error ('Rejected evaluation of: \n\'' + e.split ('\n').slice(1,-1).join ("\n") + '\'');};Function.prototype.call = _call; //Reset the Function.prototype.callreturn _call.apply(this, arguments);}};}

例如，您可以抛出一个错误，即评估被拒绝。

输入图片描述

_{这是一个示例，其中输入的表达式在传递给evaluate函数之前被传递给CoffeeScript编译器。}

小开

Netflix也实现了这个功能