为什么 `GM_xmlhttpRequest` 在连接 `@connect` 以外的网域下，是弹出询问用户批准，而不是跟TM一样返回error?

[cyfung1031]

[CodFrm]

设计如此，类似于TM的未知时询问选项

[cyfung1031]

设计如此，类似于TM的未知时询问选项

不对！

TM是因为要兼容以前旧脚本没有 @connect 才做这个
在TM，只要有一个或多于一个 @connect
它就只会接受 @connect 里写的
@connect 以外直接报错

// ==UserScript==
// @name         GM_xmlhttpRequest Test A01
// @namespace    tm-gmxhr-test
// @version      1.0.1
// @description  test page
// @author       you
// @match        *://*/*?GM_XHR_A01
// @grant        GM_xmlhttpRequest
// @connect      httpbun.com
// @connect      ipv4.download.thinkbroadband.com
// @noframes
// ==/UserScript==

setTimeout(()=>{

    GM_xmlhttpRequest({
        method: "GET",
        url: "https://example.com/",
        headers: {
            "Content-Type": "application/json"
        },
        onload: function(response) {
            console.log(response.responseText);
        }
    });

}, 1000);

---

如果沒有聲明 @connect, TM會彈出

里面清楚列明

[cyfung1031]

@CodFrm

#875

Previously on Chrome with Scriptcat, the script asked for some confirmation when comic-looms was used. After I confirmed it, the script worked for a while. However, it has recently stopped functioning.

这个也不应该会弹出 confirmation
它里面有 @connect *
用户安装时已经清楚知道有 @connect *
所以直接给权限不会有任何弹窗

[Xia0xia0Xia0]

对@connect *的处理是怎么样的啊？

如果只有@connect *还会弹出权限确认么？
如果有其他@connect xxx，但包含@connect *，会弹出权限确认么？（这个我测试是会弹确认窗口的，不知道是不是本地环境的问题？）

[cyfung1031]

对@connect *的处理是怎么样的啊？

如果只有@connect *还会弹出权限确认么？ 如果有其他@connect xxx，但包含@connect *，会弹出权限确认么？

在 TM 很简单
有 @connect 不管是写什么鬼，都不会弹确认窗口
@connect 列明以外就直接报错

所以我在TM基本上没看过这种确认窗口

在SC做测试就发现有 @connect 还是会弹确认窗口，很奇怪

[cyfung1031]

（这个我测试是会弹确认窗口的，不知道是不是本地环境的问题？）

TM不会弹
因为有声明 两个 connect ，但不包括 example.com

上面 url: "https://example.com/", 的例子会直接报错

[CodFrm]

@cyfung1031 @Xia0xia0Xia0

SC的connect和TM设计有些出入：

有 connect ，访问的域不在 connect 时，将弹出窗口询问用户

connect * 时，将允许任何域，不会进行询问

有其他@connect xxx，但包含@connect *，设计上应该不会弹，实际得看代码实现了（正在外面，没有电脑)

[cyfung1031]

@cyfung1031 @Xia0xia0Xia0

SC的connect和TM设计有些出入：

有 connect ，访问的域不在 connect 时，将弹出窗口询问用户

connect * 时，将允许任何域，不会进行询问

有其他@connect xxx，但包含@connect *，设计上应该不会弹，实际得看代码实现了（正在外面，没有电脑)

为什么要改成这样的设计
@connect 就是要规范UserScript的行为呀
不然用家安装一堆TM脚本，在TM跑没事，在SC就会弹来弹去
SC可以加个选项并改为预设，把SC的行为跟TM一致吗

正如TM说明指出，如果脚本设计是用来所有网域，就直接加到metablock, 写明 @connect *
这样一看就知道脚本会连哪里
现在跑脚本的时候又问一次，但看代码又看不出来，就失去了 @connect 的用意。
而因为在SC执行时，用家自行按了许可，这又会导致 SC 跟TM的执行不一样

TM这个 @connect 的设计，就是要开发者写明连什么，用的人一看就明白，放心使用。即使里面有写错什么的，也不会弹来弹去。要由脚本作者自行解决。
另一个隐忧是，network request 会有 redirection. 如果是TM的指明网域外报错，是没问题。如果是SC这里奇葩设计，那些奇怪的 redirection 又会弹一堆窗口

到最后，用户很难从代码容易看得出这脚本「能连什么」。要看设定那个。
然后如果汇出再汇入之类，又一堆弹窗口了。这次的弹窗口跟上次安装时的弹窗口选择不一的话，又可能令脚本的行为改变。

跑UserScript就是要它安静跑，而不是有什么风吹草动就弹窗口烦用家。
脚本跑不了就直接跟作者算帐

[CodFrm]

🤔倒也没太多的理由，我觉得弹出来，告知用户，让用户知道这个脚本访问了 connect 外的域的，一般来说，不会弹的

不过从安全性方面来说TM的模式，在connect外的直接拒绝，这样更好，可以增加选项并预设吧

[CodFrm]

@cyfung1031 你有什么脚本会出现@connect外弹出的问题吗？按理说，@connect外弹出的行为也很奇怪

[cyfung1031]

@cyfung1031 你有什么脚本会出现@connect外弹出的问题吗？按理说，@connect外弹出的行为也很奇怪

手上没有。就是测试结果SC和TM不一样才提出这个问题

按理说，@connect 外弹出的行为也很奇怪

这正是我要指出SC现在的奇葩设计
TM只是用来针对没声明任何 @connect 的情况

上面有给出例子
#884 (comment)

比如这个例子
假设写的人就是用TM。 google yahoo 以外会报错但实际看不到可以不理
在SC，就会每个网域都弹一次了 (bing, ...)

// ==UserScript==
// @name         Log current site's robots.txt
// @namespace    https://example.com/userscripts
// @version      1.0.0
// @description  读取并在 console.log 当前网站的 /robots.txt
// @match        *://*/search*
// @grant        GM_xmlhttpRequest
// @connect      google.com
// @connect      yahoo.com
// ==/UserScript==

(function () {
  'use strict';

  // 构造 robots.txt 位置（标准档名为 robots.txt）
  const robotsUrl = `${location.origin}/robots.txt`;

  GM_xmlhttpRequest({
    method: 'GET',
    url: robotsUrl,
    timeout: 15000,
    onload: function (res) {
      // 可能经过跳转；这里把关键资讯都印出来
      console.group('[robots.txt]');
      console.log('Request URL  :', robotsUrl);
      console.log('Final URL    :', res.finalUrl || '(unknown)');
      console.log('Status       :', res.status, res.statusText);
      console.log('ResponseText :\n' + (res.responseText || '(empty)'));
      console.groupEnd();
    },
    onerror: function (err) {
      console.group('[robots.txt] ERROR');
      console.log('Request URL:', robotsUrl);
      console.error('Error:', err && err.error ? err.error : err);
      console.groupEnd();
    },
    ontimeout: function () {
      console.group('[robots.txt] TIMEOUT');
      console.log('Request URL:', robotsUrl);
      console.groupEnd();
    }
  });
})();

[Xia0xia0Xia0]

@cyfung1031 用TM测试这个脚本，必定是有权限对话框的！TM默认下只要包含// @connect *，必须手动确认接受“总是允许全部域名”，除非是你手动添加*到用户域名白名单的。

访问 https://www.baidu.com/s?wd=asdf

// ==UserScript==
// @name         example
// @namespace    https://example.com/userscripts
// @version      1.0.0
// @description  example
// @match        *://*/*
// @grant        GM_xmlhttpRequest
// @connect      google.com
// @connect      *
// ==/UserScript==

(function () {
    'use strict';

    document.querySelectorAll(`#content_left .result-op a`).forEach(a=>{
        GM_xmlhttpRequest({
            method: 'GET',
            url: a.href,
            timeout: 15000,
            onload: function (res) {
                // 可能经过跳转；这里把关键资讯都印出来
                console.group('[robots.txt]');
                console.log('Request URL  :', a.href);
                console.log('Final URL    :', res.finalUrl || '(unknown)');
                console.log('Status       :', res.status, res.statusText);
                console.log('ResponseText :\n' + (res.responseText || '(empty)'));
                console.groupEnd();
            },
            onerror: function (err) {
                console.group('[robots.txt] ERROR');
                console.log('Request URL:', a.href);
                console.error('Error:', err && err.error ? err.error : err);
                console.groupEnd();
            },
            ontimeout: function () {
                console.group('[robots.txt] TIMEOUT');
                console.log('Request URL:', a.href);
                console.groupEnd();
            }
        });
    })
})();