本文介绍一种绕过浏览器默认强制下载行为的方法，通过中间 html 页面拦截 .exe url，实现对目标文件的元信息检查或用户确认后再触发下载，支持纯前端方案及 web 扩展集成。
本文介绍一种绕过浏览器默认强制下载行为的方法，通过中间 html 页面拦截 .exe url，实现对目标文件的元信息检查或用户确认后再触发下载，支持纯前端方案及 web 扩展集成。
当用户在浏览器中直接访问以 .exe 结尾的 URL（例如 https://example.com/installer.exe）时，现代浏览器（Chrome、Edge、Firefox）通常会跳过页面渲染，立即启动二进制文件下载。这种行为由 MIME 类型协商和 Content-Disposition 响应头共同决定，前端 JavaScript 无法在下载开始前介入——这也是你尝试在扩展 content script 中拦截失败的根本原因：下载流程在页面加载完成前已由浏览器内核接管。
✅ 正确解法：引入「代理跳转页」（Proxy Landing Page）
核心思路是避免用户直连 .exe 资源，而是先访问一个可控的 HTML 页面（如 download.html），由该页面承担校验、提示、审计等逻辑，再按需触发下载。
✅ 实现步骤（纯前端方案）
创建
download.html页面
该页面接收目标 URL 作为查询参数，例如：https://yoursite.com/download.html?url=https%3A%2F%2Fexample.com%2Fsetup.exe解析 URL 参数并执行前置检查
使用标准方法提取url参数（推荐使用URLSearchParams）：
<!-- download.html -->
<title>安全下载确认</title><h2>⚠️ 检测到可执行文件</h2>
<p id="file-info"></p>
<button id="confirm-btn" disabled>确认下载</button>
<script>
const urlParams = new URLSearchParams(window.location.search);
const targetUrl = urlParams.get('url');
if (!targetUrl || !targetUrl.endsWith('.exe')) {
document.body.innerHTML = '<p>❌ 无效的下载链接，请检查 URL。';
throw new Error('Invalid or non-.exe URL');
}
// 可在此处添加额外检查（如白名单域名、调用后端扫描 API、显示文件哈希等）
document.getElementById('file-info').textContent =
`即将下载：${new URL(targetUrl).pathname}（来自 ${new URL(targetUrl).origin}）`;
document.getElementById('confirm-btn').disabled = false;
document.getElementById('confirm-btn').onclick = () => {
// ✅ 安全触发下载：window.open() 不受下载拦截器默认阻止（需用户交互）
window.open(targetUrl, '_blank');
// 或使用更兼容的 a[download] 方式（注意：对跨域 .exe 无效，仅适用于同源）
// const a = Object.assign(document.createElement('a'), { href: targetUrl });
// a.click();
};
</script>
⚠️ 注意事项与增强建议
-
Web 扩展集成提示：虽然 content script 无法拦截初始下载请求，但你可以通过
chrome.webRequest.onBeforeRequest（Manifest V2）或chrome.webRequest.BlockingResponse（Manifest V3）监听导航请求，重定向.exeURL 到你的download.html页面：// manifest.json 中声明权限 "permissions": ["webRequest", "webRequestBlocking"], "host_permissions": ["<all_urls>"]</all_urls>
// background.js chrome.webRequest.onBeforeRequest.addListener( (details) => ({ redirectUrl: chrome.runtime.getURL("download.html") + "?url=" + encodeURIComponent(details.url) }), { urls: ["*://*/*.exe"] }, ["blocking"] ); -
安全性关键提醒：
- ❌ 不要信任客户端解析的文件名或扩展名（攻击者可伪造
?url=https://evil.com/legit.png%3Fmalware.exe）； - ✅ 建议服务端校验真实 MIME 类型（如
application/vnd.microsoft.portable-executable）； - ✅ 生产环境应结合病毒扫描 API、数字签名验证、用户二次确认弹窗（非
alert()）等机制。
- ❌ 不要信任客户端解析的文件名或扩展名（攻击者可伪造
替代方案对比：
| 方法 | 是否可预检 | 是否需服务端 | 浏览器兼容性 |
|--------|-------------|----------------|----------------|
| 直链.exe| 否 | 否 | 全平台强制下载 |
|download.html代理页 | ✅ 是 | 否（纯前端） | ✅ 所有现代浏览器 |
| Web 扩展重定向 | ✅ 是 | 否 | ✅ MV2/MV3（需权限） |
| 后端代理接口（如/api/fetch?u=...） | ✅ 最强控制 | ✅ 必须 | ✅（可加鉴权/审计日志） |
通过这一设计，你不仅规避了浏览器的安全限制，还为用户提供了透明、可控的下载体验——这才是真正兼顾安全性与可用性的工程实践。
