为什么 Tampermonkey 的 GM_xmlhttpRequest 可以执行 CORS 请求？

Question

GM_xmlhttpRequest 可以执行忽略同源策略的 ajax 调用。
我检查了 Chrome 中的网络面板，但我无法在其中找到来自 GM_xmlhttpRequest 的 XHR。它只是工作。
我想知道到底发生了什么以及它起作用的原因。谢谢。

Answer 1

Tampermonkey 可以进行跨源 ajax 因为它是一个扩展，并且扩展比某些网站的 javascript 更受信任。参见 "Referencing external resources" in the Chrome extension API。

Tampermonkey 脚本在特权范围内运行，GM_xmlhttpRequest 专门用于包装特权 XMLHttpRequest 调用。

要查看 Tampermonkey XHR，您必须 inspect Tampermonkey's background page。您将在网络面板中看到用户脚本的 XHR。