跨域iframe脚本注入遭同源策略限制，求Chrome方案或替代浏览器

Chrome的可行解决办法 #

你之前用--disable-web-security失效，是因为Chrome现在要求必须同时指定独立的用户数据目录，否则参数不会生效。正确的启动命令如下：

• Windows：

  chrome.exe --disable-web-security --user-data-dir="C:/ChromeDevSession"
  

• MacOS：

  open -n -a "Google Chrome" --args --disable-web-security --user-data-dir="/tmp/chrome_dev"
  

• Linux：

  google-chrome --disable-web-security --user-data-dir="/tmp/chrome_dev"
  

注意：启动前必须关闭所有Chrome进程（包括后台运行的），否则新窗口会复用现有进程，参数无法生效。

无同源限制的替代浏览器 #

Firefox #

可以通过修改配置关闭同源策略：

1. 在地址栏输入about:config，点击「接受风险并继续」
2. 搜索并修改以下配置项：
   • security.same_site.enabled → 设置为false
   • security.same_site.strict → 设置为false
   • security.csp.enable → 若需要绕过内容安全策略注入脚本，可设置为false
     也可以用命令行启动：

firefox --disable-web-security --disable-features=SameSiteByDefaultCookies,CookiesWithoutSameSiteMustBeSecure

Chromium系衍生浏览器（Brave、Opera） #

这些浏览器和Chrome核心一致，同样可以使用--disable-web-security --user-data-dir=xxx的参数启动，操作步骤和Chrome完全相同。

重要提醒 #

关闭同源策略会彻底移除浏览器的跨域安全防护，任何网站都能随意读取其他网站的Cookie、LocalStorage或发送跨域请求，仅可用于本地测试场景，绝对不能用这种模式访问正常互联网网站，否则会面临账号被盗、隐私泄露的严重风险。

内容的提问来源于stack exchange，提问作者barmga group