Безопасный доступ к переменной на странице

Да пока не вижу лазейки. Может, более опытные коллеги увидят.

сможет ли злоумышленная веб-страница выполнить код в контексте скрипта greasemonkey? Есть ли тут какая-то лазейка?

вроде-бы нет, но почему ты не хочешь насильно преобразовать переменную в числовой тип?

Вроде-бы Math.ceil() гарантированно даёт number, чем его не корми.

Но ведь в вики пишут, что

USE OF UNSAFEWINDOW IS INSECURE, AND IT SHOULD BE AVOIDED WHENEVER POSSIBLE. ... User scripts should therefore avoid calling or in any other way depending on any properties on unsafeWindow

http://wiki.greasespot.net/UnsafeWindow

Даже специальные скрипты написаны, чтобы выполнять передачу значений со страницы асинхронно, путем передачи сообщений:
http://wiki.greasespot.net/Reading_Content_Globals

Это скорее к тому что не стоит туда лезть без необходимости.

Предусмотри случай что твоей переменной вовсе нет, нормализуй её каким-нибудь parseInt и всё.

Ну или бери тот read_content_global.

Ну или бери тот read_content_global.

В том-то и дело, что для моей задачи оно не годится. Мне надо проверить, не запрещен ли на странице javascript (с помощью NoScript или в настройках браузера). И проверить синхронно, потому что если js запрещен, событие просто не дойдет.

Ээ, а как твой скрипт будет работать при выключенном то яваскрипте? А НоСкрипт вроде запрещает конкретные скрипты, их наверно и надо проверять.

Сюрприз! Даже при включенном NoScript и выключении JavaScript в настройках браузера юзерскрипт greasemonkey будет работать.

И да, NoScript по умолчанию.запрещает все скрипты.

Как-то так:

var js_enabled = false;

var script = document.createElement('script');
script.setAttribute('type', 'application/javascript');
script.textContent = 'var js_enabled = 1;';
document.body.appendChild(script);
document.body.removeChild(script);
if (typeof unsafeWindow.js_enabled === 'number') {
  js_enabled = true;
}

if (js_enabled) {
 // js работает
} else {
 // js запрещен
}

вроде-бы нет, но почему ты не хочешь насильно преобразовать переменную в числовой тип?

Ну, в общем-то, просто потому, что мне достаточно наличия переменной. См. код выше.

В рассылке greasemonkey-users накидали интересных ссылок.
Если вкратце, такой код:

window.__defineGetter__('js_enabled', trap);

function trap() {
  alert('trap');
} 

typeof window.js_enabled;

Пичалька.