Chrome扩展中MSAL安全令牌存储方案及相关安全问题咨询

核心问题逐一回复 #

1. iFrame内的localStorage是否会被宿主站点脚本攻击 #

默认情况下不会，这是浏览器同源策略的基础隔离能力：只要你的iFrame的源（通常是Chrome扩展专属的chrome-extension://[扩展唯一ID]域名）和宿主站点的源不同，宿主站的脚本没有权限跨域读取子iframe的localStorage、DOM等内容。
但要注意两种例外情况：

• 你的iFrame自身存在XSS漏洞，攻击者可以通过宿主站的恶意内容诱导iFrame执行恶意脚本，直接读取iFrame本地存储的令牌
• 你在iFrame和宿主站之间实现了postMessage通信逻辑，但没有严格校验发送方的源、消息格式，恶意站点可以构造伪造消息诱导iFrame返回令牌内容

2. MSAL使用sessionStorage、localStorage的安全隐患差异 #

sessionStorage的安全特性与隐患

• 优势：标签页级隔离，关闭标签页后数据自动清除；就算令牌被窃取，有效期仅局限于当前标签页的生命周期，不会跨标签页扩散，危害范围更小
• 劣势：跨标签页、新打开同域页面都需要重新登录，用户体验差，完全不支持离线场景
• 共同隐患：无法抵御当前页面的XSS攻击，只要当前页面存在可执行的恶意脚本，就能直接读取存储内容

localStorage的安全特性与隐患

• 优势：同源下跨标签页持久化存储，浏览器关闭后默认保留，完美解决多标签页登录的体验问题
• 劣势：
  • 持久化存储，令牌被窃取后长期有效，除非用户手动清理浏览器缓存或者令牌自然过期
  • 同源下所有页面共享存储，只要同源下任意一个页面存在XSS漏洞，所有令牌都会泄露
  • 明文存储在浏览器本地文件中，设备被植入恶意软件时存在被盗取的风险
• 共同隐患：和sessionStorage一样无法抵御当前页面的XSS攻击

3. 适配MSAL场景的CSP强化规则 #

建议在iFrame的响应头或者meta标签中配置以下CSP规则，大幅降低XSS攻击风险：

Content-Security-Policy:
  default-src 'self'; # 仅允许加载当前扩展源的资源，拦截所有第三方未知资源
  script-src 'self' 'strict-dynamic' 'nonce-[随机生成的单次有效nonce]'; # 严格限制脚本来源，禁止不安全的内联脚本、eval执行，是防XSS的核心规则
  connect-src 'self' https://login.microsoftonline.com [你的业务服务域名]; # 仅允许请求MSAL认证端点和你的业务接口，防止令牌被发送到恶意第三方地址
  object-src 'none'; # 完全禁止Flash、JavaApplet等危险插件运行，砍掉不必要的攻击面
  base-uri 'self'; # 禁止篡改base标签，避免相对路径资源被劫持
  frame-ancestors 'self'; # 仅允许扩展自身的页面嵌入当前iFrame，防止被恶意站点嵌套钓鱼

适配你场景的最佳实践 #

你作为Chrome扩展场景，完全可以避免在网页级存储中保存令牌，推荐优先使用以下方案兼顾体验和安全：

1. 替换存储介质为Chrome扩展专属存储：通过MSAL提供的自定义存储适配器，将令牌存储在chrome.storage.localAPI中。这个存储是Chrome扩展专属的隔离空间，普通网页的脚本完全没有访问权限，同时支持扩展的所有上下文（注入的iFrame、背景页、content script、popup）跨标签页共享，完美解决sessionStorage的体验问题，安全性远高于localStorage。
2. 开启MSAL存储加密：配置MSAL的cache.encryptionKey参数，对本地存储的所有令牌做对称加密，就算存储内容被意外泄露，没有密钥也无法解析出有效的令牌。
3. 最小化令牌权限：申请MSAL scope时遵循最小权限原则，只申请业务必需的接口权限，减少令牌被盗后的危害范围。
4. 严格校验跨上下文通信：所有postMessage通信都必须校验发送方的源是否在白名单内，同时对消息内容做格式校验，拒绝处理所有未知来源、格式异常的消息。

对应场景的攻击面梳理 #

1. iFrame自身的XSS漏洞：所有客户端存储方案都无法抵御页面自身的XSS攻击，是你的核心风险点
2. 跨上下文通信逻辑漏洞：postMessage校验不严导致的恶意消息注入、令牌泄露
3. 扩展权限配置不当：web_accessible_resources开放范围过大，导致恶意页面可以直接访问扩展的敏感页面
4. 令牌有效期配置过长：refresh token有效期设置太久，令牌被盗后可以长期刷新获取新的有效令牌
5. 设备端本地攻击：用户设备被植入恶意程序，直接读取浏览器本地存储的明文令牌内容

内容的提问来源于stack exchange，提问作者Vince