Chrome扩展SNS OAuth认证无登录会话时跳转被浏览器拦截如何排查

问题根因 #

Chrome 出于安全限制，会拦截从普通Web域名（包括accounts.google.com）直接发起的到chrome-extension://协议的主动跳转，只有当跳转的发起方属于扩展本身或者已在扩展声明中授权的上下文时才会放行。你观测到的initiator差异就是跳转被拦截的直接原因：

• 已保留Google会话时，整个认证流程是静默重定向，跳转链路的上下文继承自你之前的API服务端请求，未触发跨协议跳转拦截规则
• 未保留会话时，用户在accounts.google.com页完成账号密码提交，此时跳转的发起方为accounts.google.com，属于普通Web域名到扩展协议的跳转，直接被拦截

排查验证步骤 #

• 打开Chrome的chrome://policy/页，确认没有企业策略强制限制扩展跳转
• 打开Chrome DevTools的Network面板，勾选「Preserve log」，复现拦截场景，查看被拦截跳转请求的「Blocked reason」字段，确认是ERR_BLOCKED_BY_CLIENT或者明确标注跨协议跳转拦截
• 对比两种场景下跳转请求的Referer和Sec-Fetch-Site请求头，未登录场景下Sec-Fetch-Site应为cross-site，且Sec-Fetch-Dest为document，符合触发拦截的特征

修复方案 #

方案1：使用Chrome官方OAuth2授权API（推荐） #

直接调用Chrome扩展内置的chrome.identity.launchWebAuthFlow接口处理OAuth流程，该接口天然支持跳回扩展，不受跨协议跳转限制，不需要自行处理回调跳转：

chrome.identity.launchWebAuthFlow(
  {
    url: '你的API服务端发起OAuth的地址',
    interactive: true
  },
  function(redirectUrl) {
    // 这里直接拿到最终回调后的跳转地址，不需要额外处理跨域跳转
    if (chrome.runtime.lastError || !redirectUrl) {
      console.error('授权失败', chrome.runtime.lastError);
      return;
    }
    // 处理授权成功后的逻辑
  }
);

同时需要在扩展的manifest.json中声明identity权限，以及在web_accessible_resources中配置你的扩展页面路径。

方案2：修改回调跳转逻辑 #

如果不想改现有授权流程，把最终跳回扩展的逻辑改到你的API服务端返回的HTML页面中执行，不要让Google直接发起跳转：

1. API服务端收到Google的回调后，不要直接302重定向到chrome-extension://地址
2. 而是返回一个空白HTML页面，在页面中通过JS触发跳转：

<script>
window.location.href = "chrome-extension://lcoibdhlihchjibnocnoofbfobniiofp/index.html" + window.location.search;
</script>

这个方案的跳转发起方变为你的API服务端域名，你只需要在扩展的manifest.json中配置externally_connectable字段，允许你的API服务端域名和扩展通信，就可以绕过拦截。

方案3：使用扩展后台页作为跳转中转 #

在扩展的后台服务工作者（Service Worker）中监听web请求，或者给你的API服务端配置一个固定的回调地址，授权完成后服务端把授权码发送到扩展后台页，再由后台页主动打开扩展的index页面。

内容的提问来源于stack exchange，提问作者Jaeho Lee