The spyware hiding in old script tags

内容摘要

• 过期第三方脚本标签可能被攻击者利用：攻击者收购曾用于统计、广告或组件脚本的失效域名，仍保留旧标签的网站会静默加载攻击者代码。 • HTML-in-Canvas API 可将实时 HTML 绘制到 2D、WebGL 和 WebGPU Canvas，并保留文本选择、表单控件、页内查找和屏幕阅读器支持；该功能即将稳定登陆 Chrome，目前仅限 Chrome。 • 生成式 AI 应用渲染 HTML 时面临注入与攻击风险，可通过 iframe 沙箱、CSP 及严格校验的 postMessage 处理器加强隔离。 • W3C 已启动 WebMCP polyfill 试点，使 Web 应用功能可作为供智能体调用的工具；Firefox 159 则默认启用滚动驱动动画。 本期重点提醒开发者审计遗留第三方脚本，并介绍了画布内 HTML、智能体工具接口及 AI 生成界面隔离等 Web 技术动态。