什么是受限JavaScript对象？——Firefox扩展跨世界通信中的CustomEvent权限问题疑惑

你遇到的这个「Restricted对象」，本质上是Firefox为扩展的**隔离世界（Isolated World）和网页的主世界（Main World）**设置的安全隔离机制产物，咱们结合你的场景一步步拆解：

一、先搞懂：什么是「受限对象（Restricted Object）」？ #

Firefox扩展的隔离世界是一个完全独立于网页主世界的执行环境——它有自己的全局对象、原型链，和主世界的代码完全隔离开，核心目的是防止网页内容（主世界）篡改或随意访问扩展的内部数据，同时也避免扩展代码污染网页环境。

当你从隔离世界向主世界传递对象时，Firefox不会直接把隔离世界的原生对象暴露给主世界，而是会对这个对象做特殊标记，变成「Restricted对象」：

• 调试控制台因为拥有特殊调试特权，能绕过限制展开查看对象内容
• 但主世界的普通JS代码没有这个权限，一旦尝试访问对象的具体属性，就会触发「Permission denied」错误
• 这种限制是单向的：主世界的对象传递到隔离世界时，扩展的隔离世界属于受信任环境，拥有更高权限，所以能正常访问主世界的对象属性，不会触发限制。

二、结合你的测试场景对应分析 #

你做的三组测试结果，完全贴合这个安全逻辑：

1. 同世界通信：不管是主世界还是隔离世界内部，对象在同一个执行环境里，没有跨世界的权限限制，自然正常工作。
2. 主世界发→隔离世界收：主世界的对象进入隔离世界，扩展的隔离世界是受信任环境，允许访问主世界的对象，所以正常工作。
3. 隔离世界发→主世界收：隔离世界的对象传递到主世界后被标记为Restricted对象，主世界代码无法直接访问其属性，因此出现报错。

你贴的控制台输出也能直观体现这个矛盾：

custom { blah, blah, blah, lots of properties }
Object { plugh: "xyzzy" }
Uncaught Error: Permission denied to access property "plugh"

第二行控制台能打印出对象的表面内容，是因为控制台用调试特权绕过了限制；但第三行主世界JS代码直接访问属性时，就触发了权限拦截。

三、为什么cloneInto()能解决问题？ #

你在编辑里提到的cloneInto()是Firefox专门为跨世界安全传递对象设计的API，它的核心作用是：把隔离世界中的对象完整克隆一份，生成一个属于主世界环境的原生对象，再传递给主世界。

你修改后的sender代码：

e = new CustomEvent( 'custom', cloneInto( { detail: {
  plugh: 'xyzzy'
} }, wrappedJSObject ) );

document.dispatchEvent( e );

这里的wrappedJSObject代表主世界的全局对象，cloneInto()把隔离世界里的detail对象克隆到主世界环境中，这样主世界的监听器拿到的是自己环境里的原生对象，自然能正常访问plugh属性，不会触发权限错误。

备注：内容来源于stack exchange，提问作者Nanigashi