¿Cómo deshabilitar CSP en Firefox solo para marcadores?

Hoy he notado que no puedo ejecutar bookmarklets en https://github.com/ debido a las restricciones de la Política de seguridad de contenido (CSP). ¿Hay alguna manera de deshabilitar CSP en Firefox solo para bookmarklets y no todo lo demás?

Noté la security.csp.enableopción en about:config, pero esto deshabilitaría CSP por completo. El siguiente mensaje se registra en la consola cuando se activa un marcador:

Timestamp: 04/22/2013 02:39:05 PM
Warning: CSP WARN:  Directive inline script base restriction violated

Source File: https://github.com/
Line: 0
Source Code:
javascript:...

Puede intentar convertir sus marcadores en guiones de usuario de GreaseMonkey. Se ejecutan en un entorno privilegiado y no están sujetos a CSP.

Sin embargo, por supuesto, las intenciones de los guiones de usuario y los marcadores son diferentes: los guiones de usuario se ejecutan automáticamente mientras que los marcadores son a pedido. Puede eludir esto, por ejemplo, creando un <button>en el script de usuario, agregándolo a la página y configurando un onclickdetector de eventos en ese botón para activar el código del marcador.

El código debería ser así:

// ==UserScript==
// @name            Name
// @description     Description
// @version         0.1
// @namespace       example.Lekensteyn
// @grant           none
// @include         http*://github.com/*/*/commit/*
// ==/UserScript==

var myBookmarklet = function () {
    // here goes the code of the bookmarklet
};

var newButton = document.createElement('button');
newButton.innerHTML = 'Execute my bookmarklet';

newButton.addEventListener('click', function(evt) {
    myBookmarklet();
});

document.getElementById('someElement').appendChild(newButton);

Tomado casi literalmente de mi script de usuario, que también está dirigido a GitHub. Puede depurar scripts de usuario en Firebug usando la debugger;palabra clave en el script.

Sin embargo , tenga en cuenta que Firebug también está sujeto a CSP por ahora, por lo que no puede, por ejemplo, ejecutar código en la consola (pero puede inspeccionar sus scripts de usuario en modo "solo lectura"). Esto se está solucionando en este error .

Github dice que debería funcionar de acuerdo con las especificaciones, pero ningún navegador lo hace bien:

https://github.com/blog/1477-content-security-policy#bookmarklets

Debería abrir un error para su navegador favorito para este problema, o votar por él:

• Firefox: https://bugzilla.mozilla.org/show_bug.cgi?id=866522
• Chromium: https://code.google.com/p/chromium/issues/detail?id=233903

Muchas respuestas recomiendan scripts de usuario (como TamperMonkey o GreaseMonkey) pero quiero recordar que algunas páginas están en la lista negra por alguna razón por estas extensiones. (Claro, puede anular la lista negra, pero los desarrolladores tenían en cuenta la seguridad y bloquearon estas páginas).

Por ejemplo, quería usar un marcador para ir rápidamente a ReviewMeta desde cualquier listado de Amazon, pero Amazon bloqueó las fuentes de script no seguras (actualización: no estaba bloqueado, pero no tenía script, es una pena). Las extensiones de guiones de usuario están en la lista negra en los sitios de banca y compras de forma predeterminada para evitar que se instalen / utilicen guiones de usuario maliciosos.

(PD: Esta no es una respuesta per se, pero pensé que sería útil tener esto en cuenta antes de tener en tus manos un script de usuario solo para encontrar la página en la lista negra y dudar en no incluirla en la lista negra).

He creado una "solución" alternativa para este problema utilizando un script de usuario de Greasemonkey (en Firefox). Ahora puede tener marcadores en todos los sitios CSP y https: //, además de tener sus marcadores en un archivo de biblioteca agradable y fácilmente editable en lugar de ser individualmente en un marcador.

Ver: https://groups.google.com/d/msg/greasemonkey-users/mw61Ynw5ORc/Gl_BNUhtSq0J

Si desea ejecutar sus marcadores en sitios web habilitados para CSP en Firefox, puede usar hojas de estilo CSS, consulte mi respuesta en StackOverflow .