Can I safely deleted these .xpi files in the AppData>roaming>temp folder? Any negative consequences? They seem to be just zip files for installing extensions.
In attesa di una risposta
Che cos'è il formato di file XPI?
Il file con estensione .xpi contiene un archivio dati per l'installazione di software Mozilla aggiuntivo. Il pacchetto di installazione è un archivio ZIP compresso con il metodo deflate - condivide gli stessi magic bytes PK (50 4B 03 04) di un file ZIP standard. Il nome dell'estensione .xpi è l'abbreviazione di Cross-Platform Install - XPInstall, che era il nome della tecnologia utilizzata nel processo di installazione originale.
I pacchetti .xpi vengono utilizzati per installare ed estendere le funzionalità di applicazioni quali:
- Firefox,
- SeaMonkey,
- Thunderbird.
I file di pacchetto .xpi possono contenere plugin, estensioni, temi o dizionari. Il file memorizza anche i metadati di installazione. Nel formato legacy XPInstall, ciò significava un file di script install.js e un file manifest install.rdf; i moderni pacchetti WebExtension (introdotti con Firefox 57 nel 2017) utilizzano manifest.json insieme a JavaScript, HTML, CSS e icone. Il formato è strettamente correlato agli archivi JAR - entrambi sono contenitori ZIP con un layout interno specifico.
I file .xpi firmati distribuiti tramite addons.mozilla.org contengono una directory META-INF/ che ospita una firma crittografica Mozilla. Le installazioni standard di Firefox accettano solo file .xpi firmati digitalmente da Mozilla. Per installare pacchetti di terze parti non certificati da Mozilla, gli utenti devono utilizzare una Developer Edition di Firefox e impostare l'opzione xpinstall.signatures.required su false nella pagina about:config. Il pacchetto può essere installato trascinando il file .xpi sulla finestra del browser. Il contenuto di un pacchetto .xpi può essere consultato cambiando l'estensione del file in .zip e decomprimendolo con qualsiasi strumento di archiviazione.
Sicurezza e incolumità
RISCHIO: MEDIUMUn XPI installa codice che viene eseguito all'interno del browser con i permessi richiesti - un'estensione malevola può leggere le pagine, catturare dati dai moduli o dirottare la navigazione. È esattamente per questo che Mozilla impone la firma: la versione stabile di Firefox installa solo componenti aggiuntivi che Mozilla ha revisionato/firmato, il che blocca la maggior parte dei malware comuni. Il rischio aumenta quando si bypassa la firma (edizioni Developer/Nightly, about:debugging) o si installa un .xpi dall'esterno di AMO - fallo solo per componenti di cui ti fidi e leggi i permessi richiesti all'installazione. Poiché si tratta di uno ZIP, puoi ispezionare manifest.json (e la sua lista di «permissions») con 7-Zip prima di installare. I file .xpi inaspettati nei Download possono essere eliminati tranquillamente; sono programmi di installazione usa e getta.
Dettagli del formato
in sintesiNOME COMPLETOCross-Platform Installer (Mozilla add-on package)
SVILUPPATOREMozilladal 1990s (Mozilla/Netscape XPInstall); modern WebExtension XPIs since Firefox 57 (2017)
CATEGORIAFile con plugin
TIPO MIMEapplication/x-xpinstall
TIPOArchivio ZIP contenente un'estensione per browser/posta (WebExtension)
STANDARDAperto · royalty-free
MAGIC BYTES · FIRMA DEL FILE
OFFSET
00010203
HEX
504B0304
ASCII
PK··
Un .xpi è un archivio ZIP (il nome deriva dal vecchio «Cross-Platform Installer» di Mozilla), quindi inizia con l'intestazione «PK». All'interno, un moderno XPI WebExtension contiene un manifest.json più JS/HTML/CSS/icone. Rinomina in .zip per ispezionare. Gli XPI firmati da AMO contengono anche una firma Mozilla in META-INF/.
Programmi che aprono file XPI
Windows3 apps
Mozilla Firefox
Open-source Apri about:addons, quindi trascina l'XPI sulla pagina (o menu ingranaggio > Installa componente aggiuntivo da file). La versione stabile di Firefox installa solo XPI firmati da Mozilla. 
7-Zip
Open-source Tasto destro > 7-Zip > Apri archivio per leggere manifest.json e i sorgenti (un XPI è uno ZIP) - ispeziona prima di installare. 
Mozilla Thunderbird
Open-source Per i componenti aggiuntivi di posta/calendario: apri la Gestione componenti aggiuntivi e trascinaci sopra l'XPI, quindi conferma l'installazione. 
macOS2 apps
Mozilla Firefox
Open-source Apri about:addons, quindi trascina l'XPI sulla pagina (o menu ingranaggio > Installa componente aggiuntivo da file). La versione stabile di Firefox installa solo XPI firmati da Mozilla.
Mozilla Thunderbird
Open-source Per i componenti aggiuntivi di posta/calendario: apri la Gestione componenti aggiuntivi e trascinaci sopra l'XPI, quindi conferma l'installazione. 
Linux2 apps
Mozilla Firefox
Open-source Apri about:addons, quindi trascina l'XPI sulla pagina (o menu ingranaggio > Installa componente aggiuntivo da file). La versione stabile di Firefox installa solo XPI firmati da Mozilla.
Mozilla Thunderbird
Open-source Per i componenti aggiuntivi di posta/calendario: apri la Gestione componenti aggiuntivi e trascinaci sopra l'XPI, quindi conferma l'installazione. 
Android1 app
Firefox for Android
Open-source Installa i componenti aggiuntivi da AMO all'interno dell'app; le installazioni manuali di .xpi sono supportate tramite una «Add-on Collection» personalizzata (Firefox Nightly) - non è un normale flusso di apertura file. Dettagli tecnici
specifiche approfondite| Tipo MIME | application/x-xpinstall |
| Formato contenitore | Archivio ZIP; magic bytes 50 4B 03 04 («PK») all'offset 0, identico a un'intestazione di file locale ZIP standard |
| Manifest interno moderno | manifest.json conforme alle API WebExtension, introdotto con Firefox 57 (Quantum) nel 2017 |
| Manifest interno legacy | install.rdf (metadati RDF) e install.js (script di installazione), utilizzati dal sistema XPInstall precedente a WebExtension |
| Firma crittografica | Directory META-INF/ contenente i file di firma emessi da Mozilla; richiesta per tutti i pacchetti distribuiti tramite addons.mozilla.org |
| Requisito di firma | Il canale release di Firefox rifiuta i file .xpi non firmati; per consentire installazioni non firmate, utilizzare Developer Edition e impostare xpinstall.signatures.required=false in about:config |
| Tipi di contenuto supportati | Estensioni del browser, temi, dizionari, pacchetti lingua e plugin di ricerca |
| Compressione | deflate (compressione ZIP standard); le singole voci possono anche essere memorizzate non compresse all'interno dell'archivio |
| Compatibilità cross-browser | L'API WebExtension è condivisa con le estensioni .crx di Chrome ed Edge; un'estensione con manifest.json è ampiamente portabile tra i browser |
| Formato correlato | .crx (estensione Chromium/Chrome) utilizza un layout simile basato su ZIP ma antepone un'intestazione CRX proprietaria prima dei dati ZIP |
| Metodo di ispezione | Rinomina in .zip e apri con qualsiasi gestore di archivi (7-Zip, WinRAR, ecc.) per sfogliare i file interni senza strumenti speciali |
| Applicazioni host | Mozilla Firefox (primaria), Mozilla Thunderbird (componenti aggiuntivi posta), SeaMonkey |
| Canale di distribuzione | addons.mozilla.org (AMO) - gestisce l'hosting, la revisione e la firma del codice di tutti i pacchetti distribuiti pubblicamente |
| Strumento di build e packaging | web-ext CLI - l'utilità ufficiale a riga di comando di Mozilla per la creazione, il linting, l'esecuzione e la firma dei file .xpi |
| Supporto piattaforma | Multipiattaforma: Windows, macOS, Linux; anche Android tramite Firefox for Android (Fenix) |
| Rilasciato | 1990s (Mozilla/Netscape XPInstall); modern WebExtension XPIs since Firefox 57 (2017) |
| Standard aperto | Sì · royalty-free |
| Specifica | extensionworkshop.com |
Conversioni XPI
Domande e risposte della community
chiesto dagli utenti
R
Domande frequenti
Come installo un file XPI in Firefox?
Apri about:addons, quindi trascina il file .xpi sulla pagina (oppure usa il menu a ingranaggio > Installa componente aggiuntivo da file) e conferma. La versione normale di Firefox installa solo componenti aggiuntivi firmati da Mozilla.
Perché Firefox non installa il mio XPI (componente non firmato)?
Dalla versione del 2016, le versioni release/beta di Firefox installano solo estensioni firmate da Mozilla. Per eseguirne una non firmata, usa Firefox Developer Edition/Nightly/ESR (impostando xpinstall.signatures.required su false) o caricala temporaneamente tramite about:debugging - verrà rimossa al riavvio.
Un file XPI è semplicemente uno ZIP?
Sì. Rinominalo in .zip o aprilo con 7-Zip per leggere il file manifest.json e il codice del componente aggiuntivo. Il manifest deve trovarsi nella radice dell'archivio affinché sia un XPI valido.
Posso installare un XPI di Firefox in Chrome?
No. Chrome utilizza estensioni .crx con un formato e API differenti. Un XPI non verrà caricato in Chrome; lo sviluppatore deve adattare l'estensione e pubblicare una versione per Chrome.
Come installo un XPI in Thunderbird?
Apri la Gestione componenti aggiuntivi di Thunderbird e trascinaci sopra il file .xpi, quindi conferma. I componenti aggiuntivi per la posta di Thunderbird utilizzano lo stesso formato XPI di Firefox.
I file XPI sono sicuri?
Un componente aggiuntivo può eseguire codice potente nel browser, quindi installa solo quelli di cui ti fidi - preferibilmente quelli firmati da addons.mozilla.org. Controlla i permessi all'installazione e ispeziona l'XPI come uno ZIP se non sei sicuro.
Riferimenti
1Mozilla Extension Workshop - Publishing and signing add-onsextensionworkshop.com
2MozillaWiki - Add-ons/Extension Signingwiki.mozilla.org
