如何阻止在 Mozilla 浏览器上安装新插件（以防止安装恶意插件）？

Question

“只需点击几下鼠标，即可让您的 Firefox 更快、更安全、更稳定 ”文章称，许多公司在 Firefox 中安装了非常危险的插件。我喜欢 Firefox，但我必须承认它存在安全风险，因为它允许如此轻松地安装插件。它至少应该弹出一条消息，比如“一个插件被秘密安装了。你想禁用它吗？”

我的问题是（因为我真的不想卸载 Firefox）如何让 Firefox 不接受新插件？也许如果我删除一些文件，我可以削弱 Firefox 插件系统，直到它根本无法工作 - 但 Firefox 仍然可以工作。我查看了我安装的插件（确实我安装了那个危险的插件），我不需要它们！

Answer 1

tl;博士好吧，抱歉，我的答案可能不太可读，但它包含了我在个人范围内成功使用的几个原始研究结果，以阻止新插件，同时保留插件。

超短版

• 现在有一个名为newplugindisabler 的无需重新启动的扩展。它将在启动时禁用每个新插件！（最方便）

简短版本（附加）：

• 您可以撤销每个人（包括用户“Everyone”）的写入权限，只保留读取权限<Firefox installation dir>/plugins。这将阻止任何插件基于目录的安装（只要安装程序不替换权限），除了 Firefox 准备了解的少数四个插件。
• 您可以尝试设置plugin.scan.plid.all为falsein about:config。这将禁用 Firefox基于注册表的新插件扫描。

• 点击播放：您可以让 Firefox在每次站点需要插件时询问您是否激活它。设置about:config为（意思是plugin.default.state“ clicktoplay”），也设置为。1plugins.click_to_playtrue

• 使用 Windows 时，要配置目录权限，您可以使用caclswith psexec（下面的链接）进行系统级访问，或者右键单击属性的安全选项卡上的权限列表

• 使用 Windows 时，为了获得额外的注册表保护，请恢复写入权限，保留 HKEY_CURRENT_USER\Software\MozillaPlugins\plugin-id, HKEY_LOCAL_MACHINE\Software\MozillaPlugins\plugin-id,的读取权限HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\MozillaPlugins\plugin-id。您可以将 regedit 与工具 psexec -s -i regedit.exe（或regedt32.exe）一起使用。

很长的版本

更新2014/06

除了我原来的答案：

• click_to_play与885357混合plugin.default.state。您想要设置plugin.default.state为1“clicktoplay”或0“disabled”。可能的值位于source/dom/plugins/base/nsIPluginTag.idl中
• 现在有一个名为新插件禁用程序的无需重新启动的扩展/插件
• plugin.expose_full_path在新版本中消失了
• security.xpconnect.plugin.unrestricted可能相关也可能不相关
• 9999.0似乎也是最低版本的有效值。当今媒体大肆宣传的“每月增加版本号”策略99.0可能还不够，尽管我怀疑 139 版本的销售能力，并且9999.0如果它作为一个版本失效，仍然可能会引起惊讶。
• gecko.handlerService.defaultHandlersVersion还MimeTypes.rdf可以诱导程序执行。可能有也可能没有其他相关概念。

更多附加信息：

• mozilla 有专门的技术隐私审查https://wiki.mozilla.org/Privacy/Reviews可能与您相关
• 这超出了范围，但如果您是管理员或只是好奇，您可能需要考虑创建更新策略。Firefox 现在有针对组织的扩展支持版本 (ESR) 。
• 此外，您可能对“firefox lock”或pcc-services.com 上的其他链接（如lockPref、和 co）感兴趣mozilla.cfg。
• 另外，您可能想了解如何自定义 Firefox 默认配置文件（迈克·卡普利的非官方）
• 另外，当前about:config有关更新的感兴趣条目可能包括, extensions.update.enabled, plugins.update.notifyUser, extensions.update.autoUpdateDefault, browser.search.update, app.update.service.enabled, app.update.silent, app.update.enabled, app.update.staging.enabled, app.update.url, services.sync.prefs.sync.app.update.mode, app.update.channel，您可以在其中获得可能值的提示，例如，粗略地表示模式，意味着要求，等等。带有source/browser/app/profile/firefox.js等值的提示。app.update.autoapp.update.modesource/browser/components/preferences/in-content/advanced.js2warnfalseautoapp.update.incompatible.mode
• 你可以在天空中伟大的Mozilla 交叉引用（MXR）中搜索源代码。

原答案

实际上有一种方法可以阻止某些或全部插件“安装”，但将插件保留在 Firefox 中。问题在于，在 Windows 上，Firefox会在某些位置扫描插件。这些位置中的每一个都可以驻留一个或多个插件。

您可以控制 Firefox 如何处理其中每个位置，但如果该位置列出多个位置，则您无法控制它如何处理单个插件。做到这一点涉及多种方法。并非所有人都很好。

在开始之前，值得一提的是，还有“点击播放”，如果网页要求任何插件，它会要求您在单独激活任何插件之前点击。about:config它可以在as中找到plugins.click_to_play。您可以将其设置为true.

现在，首先是更好的部分：

您应该转到该about:config页面并过滤plugin.scan。这里，plid表示注册表项位置。其余的用于单独处理的插件。

plugin.scan.SunJRE", "1.3"
plugin.scan.Acrobat", "5.0"
plugin.scan.Quicktime", "5.0"
plugin.scan.WindowsMediaPlayer", "7.0"
plugin.scan.plid.all", true

“1.3”等是 Firefox 接受的最低版本号。建议对于要禁用的插件，将此值设置为19.0。我已经将其设置为99.0并且它可以在 Firefox 18 中运行。

您可以通过Mozilla 知识库中描述的方法检查这些插件的实际位置。这个想法是，您转到该about:plugins页面以查看活动插件的位置。但你需要先plugin.expose_full_path设置true。

要禁用所有基于注册表的插件位置扫描，请设置plugin.scan.plid.all为false。实际的注册表项在知识库的另一页上进行了描述。我稍后列出了密钥。

如果您需要重置这些about:config设置，请右键单击它们并选择重置。

现在是更丑陋的部分：

Firefox 将在<Firefox installation dir>/plugins. 这是 Acrobat、QuickTime 和 Office 等插件在我的计算机中自行安装的地方。

控制该目录的设置已被删除。这就是为什么我选择修改这个目录的访问权限。将所有用户的权限设置为只读。那么新的程序将无法写入它。

我想您也可以对注册表项执行相同的操作。实际的注册表项是：

HKEY_CURRENT_USER\Software\MozillaPlugins\plugin-id
HKEY_LOCAL_MACHINE\Software\MozillaPlugins\plugin-id

And on 64-bit Windows:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\MozillaPlugins\plugin-id

（要设置注册表项的权限，请右键单击它并选择“权限...”。您应该会看到它，但如果不要尝试使用该工具 psexec -s -i regedit.exe启动 regedit或使用regedt32.exe（如果我记得很清楚）。）

作为记录，我已经删除了系统用户对插件目录的所有访问权限，并且 Firefox 没有崩溃。不过，任何新安装都可以。

出于存档目的，我在此处包含完整的 url 作为文本：

_{插件扫描： http://kb.mozillazine.org/Plugin_scanning。注册表项：https://developer.mozilla.org/en-US/docs/Adding_Extensions_using_the_Windows_Registry#Plugins。位置：http://kb.mozillazine.org/Issues_lated_to_plugins#Plugin_location。}

我通过浏览列出所有类型有趣文章的类别页面找到了这些文章：http://kb.mozillazine.org/Category:Plugins