JetBrains 官网点击安装插件， idea 自动弹出安装窗口，这是怎么做到的？

[1oNflow]

并没有在官网登陆我的账号，也不是 Chrome 提示想要打开 idea 那种调用，这是怎么知道我本机安装的什么版本，并能通知 ide 进行安装？

[wysnylc]

没用过 QQ 的 web 加群还是没用过 tg 的加群?

[t298]

@wysnylc 没明白，

[RubyJack]

url protocol

[Ultraman]

用 telegram 吗？
用的话点一下这里 https://t.me/nCoV2019

[Ziya]

直接搜索：URL Schemes
了解更多

[wysnylc]

@t298 #2 他的问题和 QQ 通过 web 加群还有 tg 加群是一样的,注册表注册然后通过 url 拉起本地注册的客户端进行交互

[t298]

@wysnylc 啊哦，谢谢

[also24]

@wysnylc #1
@RubyJack #3
@Ultraman #4
@Ziya #5

你们应该仔细看一下楼主的帖子内容的，楼主已经专门讲了 『也不是 Chrome 提示想要打开 idea 那种调用』，说明并不是 URL Schemes 方式。


我去 https://plugins.jetbrains.com/ 看了下，实际上那个页面是通过请求本地的 WebServer 传递的消息。
也就是 IDE 其实一直开着一个 WebServer 来接收外部指令，前端页面只是在请求这个接口而已。


这是具体的请求：
https://i.loli.net/2020/05/09/LbKEMOmHpXRlFPD.png


可以在源码中看到一些请求相关的内容：
https://i.loli.net/2020/05/09/o5q3aZnjudJIiVk.png

[wysnylc]

@also24 #8 这种方式有弊端,ide 不开就失效

[miao1007]

这种方案 相当于后门了

[1oNflow]

@also24 感谢分析，这种方法用户体验的确好，就是担心一直开着 server，更加占用资源了，哈哈

[iFlicker]

@also24 Jetbrains 家的 IDE 一直都开有一个 webServer 以前发现了还没注意是干啥的 这回知道了哈哈哈哈

[also24]

@wysnylc #9
这个页面在刚打开的时候就以空内容请求了这个接口，这个接口会返回当前的 IDE 名称和版本。
如果请求这个接口失败，这个页面后续是不会用这种方式来安装插件的。


@miao1007 #10
IDE 那边应该有校验，我直接 get 这个接口的话会提示是否信任。
以及，IDE 那边并不是静默下载，而是弹出安装提示框而已。
https://i.loli.net/2020/05/09/cwpJUI1Rl7SiuaX.png


@1oNflow #11
资源问题还真没太注意，猜测应该不会占用太多，毕竟没有太多复杂的东西在里面。


@iFlicker #12
之前用 Toolbox 的时候就注意到了，它的登录回调也是这样实现的。

[Jirajine]

这完完全全就是开后门，网页可以通过这种方式逃逸出浏览器沙盒执行代码，要是被那些 xx 联盟 sdk 学去了那还了得。

[charlieputon]

这个和安卓开发通过 url scheme 调起 activity 好像啊

[jin7]

又学了一招...

[sheeta]

哈哈，腾讯的 qq 登录也是这么干的，不然它怎么知道你电脑上登录了 qq

[sheeta]

@sheeta https://i.loli.net/2020/05/09/jIeW9K8MEVL32RZ.png

[kaedea]

uri scheme

[lshero]

@Jirajine 早就学会了 /t/233263

[gamexg]

@wysnylc 我装了 jb 家不少 ide，网页安装插件时，只有运行中的 ide 显示，未运行的就没有显示。

[Xusually]

浏览器页面和本地 web server 交互，说难听点就是妥妥的后门。之前很多软件都爆了这种漏洞，比如百度的，Zoom 的。
zoom 的我贴一个链接： https://www.infoq.cn/article/zTyeHcfM*6jMjBCYNK4J

[hahiru]

>localhost 服务器存在的唯一原因是 Apple 的 Safari 不支持 URI 处理程序。
所以这都是苹果的错！

[huage2580]

其实 啊，网页开 webServer 交互通讯，是很常见的歪路子。在安卓这边，微信内置会封杀 url scheme 。某某音乐就是用这种方式拉起播放器的。当时看到的时候，真滴太 6 了

[szzhiyang]

@also24 咦，那浏览器中的网页是怎么知道 IDE 监听的是哪个端口呢？端口号是它们事先约定好的还是 IDE 当场告诉它的？

[Jirajine]

@lshero 那就很糟糕了，据我所知除了 MS 的 uwp 以外没有阻止和 localhost 通讯 /绑定高位端口的机制，防火墙完全管不到。看起来这些端口都是 hardcode 的，可以考虑写一个程序把这些端口都占据并在收到请求时提示用户。

[also24]

@szzhiyang #25
其实我 8 楼贴的那段代码里已经可以看到是直接硬编码了 63342 这个端口

[szzhiyang]

@also24 好的，感谢。

[gamexg]

@szzhiyang 实现过类似的，硬编码几个端口，一个不行就换下一个。

[zhengjian]

QQ 的自动登录也是这样的