@ anywalletkit/ extension- kit (英语)

非拘禁铬(MV3)钱包扩展的安全相关核心, 在任何钱包套件和协议包上所建:加密金库 自动锁解锁键会话, dApp 请求路由器, 并带有原产地 权限和批准队列、签名请求分类和 审查交换和收入计划方面的帮助者。 没有UI,没有 @types/chrome,没有网络 本身的代码: 铬适配器取结构对象 (单位:千美元)StorageAreaLike, (中文(简体) ), AlarmsLike),所以一切运行在维特下与 内膜适配器.

安装

npm install @anywalletkit/extension-kit
# or: pnpm add @anywalletkit/extension-kit  ·  yarn add @anywalletkit/extension-kit

时间: @ anywalletkit/ extension- kit (英语)发表于 发布工作流程 与出处.

这个软件包是给建立自己的扩展名的钱包开发者的. 这是一个 库,不是扩展:弹出、批准窗口、注入提供者, 服务工人的接线、建造和释放管道是钱包的。 虚空 浏览器扩展是一个基于它的产品.

pnpm add @anywalletkit/extension-kit @anywalletkit/core @anywalletkit/keyring

它提供的东西

安保模式(摘要)

• 钥匙在休息. 信封 v2: scrypt N=2^17 r=8 p=1 (中文(简体) )@noble/hashes页:1 AES-256-GCM 包装了随机32字节的 DEK; DEK 封存 AAD 下的每一个秘密 forgewallet-vault/secret/<id> (框不能互换). DEK盒子的AAD(AD) (英语) 绑定精确的 KDF 参数, 所以一个被编辑盐或成本的信封 磁盘上无法打开; unlock 拒绝支付底价weak-kdf),以及 费用或规模以上 VAULT_LIMITS (crypt N ^ 2^20, r 16, 第 4页;PBKDF2) ● 5 000 000次重复;1 000次秘密;32次密码;4次密钥) 运行( r)unsupported-envelope) (中文(简体) ). 给信封的书信被连载(一) Vault 因此,平行进口的每个存储区域都保密。 单曲 信封(PBKDF2-SHA256、600,000个重联)仍未打开并重新封存 作为v2. 短于8个字符的密码被金库本身拒绝. 密码错误和篡改都是同样的失败(wrong-password) (中文(简体) ). create 永不覆盖; 重置为显式 destroy()。 。 。 .
• 密码. 在HKDF-SHA256(PRF输出, 盐 = 证书 id; 密码保留恢复路径.
• 重接键. changePassword 重新包装同样的DEK,和 removePasskey 不收回一个DEK 的密码 。 被怀疑后 妥协, rotateVaultKey(password) 做一个新鲜的DEK, 重新封装每 秘密,放下密码,写一个信封; 把返回的DEK交给 session.unlock,它取代了旧的. setSecret 拒绝一个不打开金库秘密的DEK.
• 开封州. 只有DEK被保存,在 chrome.storage.session (只记录,可信任的上下文),每个读取处执行过期 提醒锁定; 此软件包的密钥缓冲器在使用后被零化 . unlock 编号 : lock 编号 : touch 编号 : getKey 一次跑一次,所以活动赛车 锁从不带钥匙回来.
• 页面错误 . toRelayError(e, { log }) 传递钱包本身的拒绝 (EIP-1193代码)和一个节点的JSON-RPC出错(代码,还原数据)与URL 删除; 其它内容是 -32603 Internal error 在页面上,然后去 log。 。 。 .
• 发源地. 内容脚本只转发页面窗口本身的内容 公布(pageRequestFrom数字 : event.source 是页面, event.origin 联合国 因此,一个广告或嵌入一个iframe不能作为网站说话。 这个 服务工作者只在内容脚本时回答中继消息 印花来源等于 port.sender.origin。权限是 键入源代码,从不使用 URL 页面或 WalletConnect 对等请求.
• 请求. 所有披露账户或转移资金的事物都会经历 批准队列; 盲签( e)eth_sign未提供;输入数据 另有一连串、部署和地点来源的EIP-7702代表团 拒绝; 只读的 RPC 到钱包本身的终点 .
• 腾讯网. 该工具包除了RPC/提供者之外,不提出自己的请求 调用钱包电线 ; 钓鱼列表是钱包船的数据 .

钱包的工作留下的是什么:扩展页 CSP(script-src 'self',没有 远程图像,用于工人的宿主授权列表 fetch,孤立第三方 网络 SDKs (WalletConnect, Omniston) 在沙盒页面中, 可复制 释放构建和存储账户.

使用铬适配器

import {
  Vault, Session, PermissionStore, NetworksTable, ApprovalQueue, RequestRouter,
  chromeLocalVaultStorage, chromeSessionStorage, chromeAlarms, chromeJsonStorage,
  chromeKeyringStorage, vaultSecretStorage, checkSenderOrigin, isRelayRequest, PORT_NAME,
} from '@anywalletkit/extension-kit'

// service worker
const vault = new Vault({ storage: chromeLocalVaultStorage(chrome.storage.local) })
const session = new Session({ storage: chromeSessionStorage(chrome.storage.session), alarms: chromeAlarms(chrome.alarms) })

// onboarding
const dek = await vault.create(password)          // refuses if a vault exists or the password is too short
await vault.setSecret(dek, 'main', utf8(seedPhrase))
await session.unlock(dek)                         // dek is zeroized here

// @anywalletkit/keyring on top of the vault
const keyringStorage = chromeKeyringStorage(chrome.storage.local)
const secrets = vaultSecretStorage(vault, session) // VaultError('locked') once the session expired

// the dApp side
const permissions = new PermissionStore(chromeJsonStorage(chrome.storage.local, 'my-wallet.permissions'))
const networks = new NetworksTable(chromeJsonStorage(chrome.storage.local, 'my-wallet.networks'))
const approvals = new ApprovalQueue(myApprovalWindow) // chrome.windows.create({ type: 'popup' }) behind ApprovalWindow
const router = new RequestRouter({ permissions, networks, approvals, accounts, rpc, emit, sign })

chrome.runtime.onConnect.addListener((port) => {
  if (port.name !== PORT_NAME) return
  port.onMessage.addListener(async (msg) => {
    if (!isRelayRequest(msg)) return
    const origin = checkSenderOrigin(port.sender, msg.origin)
    if (!origin) return // forged origin: dropped, not answered
    const result = await router.handle(origin, msg.chain, msg.method, msg.params)
    // post a RelayResponse { kind: 'response', id: msg.id, … } back on the port
  })
})

memoryVaultStorage, (中文(简体) ), memorySessionStorage, (中文(简体) ), memoryAlarms, (中文(简体) ), memoryJsonStorage 财务报告和审定财务报表 memoryApprovalWindow 是做测试的双胞胎.