如果 你 需要 某些 外部 JavaScript 或 对象 资源 ， 你 可以 通过 allowlisting 安全 来源 （ 应 接受 脚本 ） 将 策略 放宽 到 有限 的 范围 。 验证 使用 扩展 权限 提升 权限 加载 的 运行 时 资源 是否 与 你 所需 的 资源 完全 一致 ， 并且 不 会 由 活动 网络 攻击者 替换 。 由于 & # 91 ; 中间人 攻击 & # 93 ; & # 91 ; WikiManMiddleAttacks & # 93 ; 在 HTTP 上 是 简单 且 不 可 检测 的 ， 因此 不 接受 这些 来源 。

If you require some external JavaScript or object resources , you may relax the policy to a limited extent by allowlisting secure origins from which scripts should be accepted . Verify that runtime resources loaded with with elevated permissions of an Extension are exactly the resources you expect , and are not replaced by an active network attacker . As &#91; man-in-the-middle attacks &#93; &#91; WikiManMiddleAttacks &#93; are both trivial and undetectable over HTTP , those origins are not accepted .
