そのままwindow.openとするとポップアップブロックに引っかかる罠（があり）、一手間必要だったので記しておきます。

injectScript revised edition https://stackoverflow.com/a/62810431/579429

続きを見る

攻撃手法を試してみると即時実行関数式はダメっぽいのでアクション関数上書きが有効なのかも pic.twitter.com/Zr4CsJqMj9

— h. KITAGO (@hkitago) August 25, 2021

http://localhost/で実行するとJSコードを差し込むことができたので、次はコメントアウト箇所に関数名を書いて、実際のページに差し込んで試してみます。