Ignorieren von HSTS in der Chrome-App/-Erweiterung

Question

Ich schreibe eine Chrome-App für die Diagnose von Webdiensten. Ich möchte in der Lage sein, eine GET-Anfrage an eine URL zu senden und die Header und Daten in der Antwort zu betrachten.

Mein Problem ist, wenn ein Benutzer eine Website mit dem HSTS-Header vor der Verwendung meiner App aufruft, kann meine App keine GET-Anforderungen an die http: // URLs für diese Domain senden, da Chrome das http automatisch konvertiert : // URLs zu https: // Einsen bevor die Anfrage gesendet wird.

Gibt es überhaupt etwas, was ich tun kann, um das zu verhindern? Ich habe die webrequest API und das webview Tag untersucht, aber ich finde nichts, das mich HSTS ignorieren lässt.

Kann ich dafür https://developer.chrome.com/apps/sockets_tcp verwenden (ich müsste http, https und gziped Daten unterstützen können)?

Answer 1

Gibt es überhaupt etwas, was ich tun kann, um dies zu verhindern?

Wahrscheinlich nicht. Wenn Sie bereits <webview> getestet haben und es die HSTS-Liste mit dem Browser teilt, wird die Netzwerkebene dies für Sie transparent umschreiben.

Ist es möglich, chrome.sockets.tcp dafür zu verwenden?

Technisch gesehen, ja, HSTS sollte dafür keine Rolle spielen. In der Praxis müssten Sie etwas wie wget + SSL + gzip von Grund auf implementieren (in JS, NaCl oder einem nativen Host - aber in letzterem Fall brauchen Sie nicht wirklich eingebaute Sockets).