关于Salesforce Inspector自动登录认证机制的技术问询

1. 无需显式认证的自动登录实现机制 #

Salesforce Inspector作为浏览器扩展，核心是复用浏览器中已存在的Salesforce org登录会话。当你已经在当前浏览器的某个标签页登录了目标Salesforce org，Inspector会直接借助这个已建立的有效会话，跳过账号密码输入、OAuth授权等显式认证步骤，直接向Salesforce API发起请求。本质是利用浏览器扩展的域名权限，直接接入现有认证上下文。

2. 是否依赖浏览器Cookie/会话信息？ #

是的，完全依赖。Salesforce的用户会话核心凭证存储在浏览器的Cookie中（最关键的是sid会话ID Cookie），Inspector正是通过读取这些Cookie来获取已认证的会话信息，以此建立和Salesforce服务器的认证连接，无需重新发起认证流程。

3. Cookie与会话信息的安全获取与处理 #

• 权限隔离：浏览器在安装Inspector时，会要求用户授予仅访问Salesforce相关域名（如*.salesforce.com、*.force.com）数据的权限，扩展无法读取其他网站的Cookie，从源头限制了数据访问范围。
• 临时使用不存储：Inspector不会持久化存储获取到的Cookie或会话信息，仅在需要发起API请求时临时读取并附加到请求头中，请求完成后不会留存这些凭证。
• 浏览器沙箱管控：所有Cookie读取和请求操作都在浏览器的安全沙箱内执行，扩展无法将这些会话信息导出到浏览器外部，避免了凭证泄露风险。

内容的提问来源于stack exchange，提问作者Himanshu Joshi