自定义协议处理器（Custom Protocol Handler）传输数据的安全性及相关风险问询

我来帮你梳理下自定义协议处理器（比如myapp:\\somedata）的数据安全相关问题，结合官方资料给你拆解清楚：

1. 浏览器是否会缓存协议中的somedata？ #

根据MDN的官方说明，浏览器通常不会把自定义协议的完整URL（包括somedata部分）当作可缓存资源来存储——毕竟这类协议是用来唤起本地应用，而非加载网络资源的。但有两个容易被忽略的点：

• 浏览器的历史记录会完整保存触发过的自定义协议URL，用户查看历史、或者恶意软件读取浏览器历史文件时，就能拿到somedata；
• 如果页面里的协议链接是静态写死的，页面本身被浏览器缓存的话，链接文本（如果包含数据）可能会被存在缓存里，但核心的协议调用数据不会被当作资源缓存。

2. 其他应用程序能获取到传输的信息吗？怎么获取？ #

当然可以，而且途径不少，都是系统层面的暴露点：

• 进程监控工具：这是最直接的方式。自定义协议传递的somedata几乎都会作为命令行参数被本地应用接收，任何能查看进程命令行的工具（比如Windows的Process Explorer、Linux的ps aux、macOS的Activity Monitor）都能抓到这些数据，恶意软件也能通过系统API读取进程参数；
• 浏览器扩展/插件：拥有tabs或webNavigation权限的浏览器扩展，可以监听页面内的链接点击事件，或者拦截协议跳转请求，直接获取完整的协议URL（包括somedata）；
• 系统日志：部分操作系统会记录应用启动的细节，比如Windows的事件日志、Linux的syslog，可能会把协议传递的数据包含进去；
• 恶意系统钩子：高级恶意软件可以通过系统级钩子（比如Windows的SetWindowsHookEx）拦截应用启动的过程，直接捕获传递的参数。

3. 开发者要重点防范的风险：攻击者窃取somedata的核心途径 #

如果你不想让第三方拿到somedata，得重点盯这几个场景：

• 命令行参数泄露：这是最普遍的风险，几乎所有系统都允许查看进程的命令行参数，somedata在这里完全透明；
• 浏览器历史与痕迹：用户的浏览器历史、地址栏自动补全记录都可能留存协议URL，设备被他人访问或被恶意软件扫描时，数据会泄露；
• 恶意浏览器扩展：如果用户安装了过度授权或恶意的扩展，它们能监听所有页面的协议跳转，轻松窃取数据；
• 前端脚本漏洞：如果触发协议的链接是前端动态生成的，页面存在XSS漏洞的话，攻击者可以注入脚本获取到协议URL里的somedata；
• 系统级监控软件：比如键盘记录器、进程监控木马，都能在本地应用启动时捕获传递的数据。

官方参考资料要点 #

MDN关于自定义协议处理器的文档明确指出：

自定义协议的URL会被当作普通链接处理，任何能访问页面或浏览器历史的实体都可能获取到URL中的数据。此外，本地应用接收的协议数据会以命令行参数形式传递，这部分数据在系统层面是完全可见的，浏览器不会对其提供额外的加密或隐私保护。

W3C的相关规范也提到，自定义协议属于本地上下文调用，不存在浏览器层面的隐私隔离机制，所有传递的数据都处于系统级的公开范围内。

内容的提问来源于stack exchange，提问作者elias-berg