Google đã tạm thời đảo ngược việc Chrome xóa các cửa sổ cảnh báo của trình duyệt và các lời nhắc khác được tạo thông qua iframe trên nhiều nguồn gốc sau khi triển khai khó khăn trong hai tuần qua đã phá vỡ các ứng dụng web và báo động cho các nhà phát triển
Khung nội tuyến hoặc Khung nội tuyến là một phần của trang web được nhúng trong một trang web khác. Khi nó bao gồm các tài nguyên từ một nguồn gốc hoặc miền khác, đó là iframe nhiều nguồn gốc
Kể từ tháng 3 năm 2020, nhóm đằng sau Chromium, công cụ mã nguồn mở của Chrome, đã lên kế hoạch hạn chế khả năng của các iframe có nguồn gốc chéo vì chúng là một trách nhiệm bảo mật. Cụ thể, chúng cho phép một tài nguyên được nhúng như quảng cáo hiển thị lời nhắc như thể đó là miền lưu trữ
"Trải nghiệm người dùng hiện tại rất khó hiểu và trước đây đã dẫn đến tình trạng giả mạo khi các trang web giả vờ thông báo đến từ Chrome hoặc một trang web khác", một kỹ sư của Google giải thích trong thông báo Intent to Remove ban đầu của công ty vào năm ngoái
"Việc xóa hỗ trợ cho khả năng kích hoạt giao diện người dùng của iframe gốc chéo sẽ không chỉ ngăn chặn kiểu giả mạo này mà còn bỏ chặn các nỗ lực tiếp theo để làm cho hộp thoại dễ nhận biết hơn như một phần của trang web thay vì trình duyệt. "
Câu trả lời của Google đối với hành vi giả mạo là ngăn mã JavaScript trong các iframe có nhiều nguồn gốc gọi các phương thức cảnh báo, nhắc và xác nhận trên đối tượng cửa sổ của trình duyệt – mà các nhà phát triển web sử dụng để hiển thị các hộp thoại cho thông báo và tương tác của người dùng
Bằng cách đó, Google đã phá vỡ nhiều ứng dụng web. Và cuối cùng, Google có kế hoạch loại bỏ hoàn toàn các cơ chế nhắc nhở này [khỏi các ngữ cảnh cùng nguồn gốc cũng như các ngữ cảnh có nguồn gốc chéo], một lần nữa để ngăn chặn khả năng lạm dụng
Việc ngừng sử dụng window.alert, window.prompt và window.confirm từ iframe nhiều nguồn gốc có hiệu lực khi phát hành Chrome 92. 0. 4515. 107 on Tháng bảy 20. Kể từ đó, các ứng dụng như môi trường nhà phát triển xã hội Codepen và Azure Cosmos DB của Microsoft đã gặp sự cố vì chúng hiển thị cho người dùng các cảnh báo, thông báo và cửa sổ xác nhận thông qua iframe có nhiều nguồn gốc
- Hãy cẩn thận với những gì bạn nội tuyến. Tên miền lưu trữ video không còn tồn tại được sử dụng để đưa những bộ phim tục tĩu vào các bài báo, hơn thế nữa
- Dịch vụ reCAPTCHA của Google dưới kính hiển vi. Các câu hỏi đặt ra về lời hứa bảo mật, sử dụng cookie
- Các biện pháp đối phó với clickjacking iFrame xuất hiện trong mã nguồn Chrome. Và nó chỉ mất *kiểm tra lịch* ba năm
- Nếu bạn muốn có một ví dụ về cách mối quan tâm của người dùng không thúc đẩy phát triển phần mềm, hãy xem API do Google hỗ trợ này
Trong vấn đề về Chromium, nơi việc xóa đang được theo dõi, các nhà phát triển đã tham gia để bày tỏ sự thất vọng của họ về cách thay đổi này đã bị ép buộc đối với cộng đồng web
"Thay đổi này đã gây ra khá nhiều khó khăn cho chúng tôi vì chúng tôi sử dụng dịch vụ trả phí của bên thứ ba được nhúng qua iframe trong ứng dụng web của mình và tôi chuyển một lượng nhỏ JavaScript tùy chỉnh có giới hạn cho ứng dụng bên thứ ba đó khi tôi khởi tạo công cụ của họ [để kích hoạt một số hành động . ". Với sự thay đổi này, tôi đang cố gắng triển khai một giải pháp thay thế window.parent.postMessage xấu xí vì các phần ứng dụng web của chúng tôi hiện đã bị hỏng đối với hàng chục nghìn người dùng của chúng tôi. "
"Tôi là kỹ sư của một công ty ERP lớn và làm việc trên một sản phẩm mà hàng trăm khách hàng lớn [hàng trăm nghìn người dùng] không còn có thể sử dụng sản phẩm do loại bỏ các hộp thoại gốc", một nhà phát triển khác viết.
"Những khách hàng này thường chọn tự lưu trữ sản phẩm, điều đó có nghĩa là việc đăng ký nguồn gốc sẽ thuộc về từng người trong số họ. Điều đó không khả thi đối với chúng tôi hoặc bộ phận CNTT của họ. Nội bộ chúng tôi thậm chí không thể làm cho nó hoạt động. Chúng tôi cũng nhận được phản hồi về việc yêu cầu họ loại bỏ các cài đặt đăng ký. "
Nhóm của tôi đang làm việc suốt ngày đêm và cuối tuần để cố gắng viết lại sản phẩm của chúng tôi xung quanh sự thay đổi này
"Nhóm của tôi đang làm việc suốt ngày đêm và cuối tuần để cố gắng viết lại sản phẩm của chúng tôi xung quanh sự thay đổi này và đơn giản là cần thêm thời gian. Theo tôi, loại thay đổi này đáng lẽ phải được ghi lại và cảnh báo trước. "
Sự phản đối kịch liệt đã đủ lớn để Microsoft Edge tuần trước hoàn nguyên các thay đổi trong mã Chromium ngược dòng của nó để khôi phục các hộp thoại trong các iframe có nguồn gốc chéo. Ngay sau đó, một kỹ sư của Google cho biết Chrome đã vô hiệu hóa tính năng không dùng nữa cho đến ngày 15 tháng 8 để giúp các nhà phát triển có thêm thời gian viết lại ứng dụng của họ
Google thậm chí đã triển khai "bản dùng thử nguồn gốc ngược" chọn tham gia trong bốn tháng, tạm thời khôi phục lời nhắc về nguồn gốc chéo cho người dùng Chrome và giúp các nhà phát triển trang bị thêm các ứng dụng web lớn có thêm thời gian để tìm giải pháp thay thế cho các phương pháp API bị lưu trữ
"Đây là Chrome đỉnh cao; một ý tưởng có vẻ hợp lý nhưng lại bị cản trở bởi vì nó đã bị loại bỏ một cách thiếu suy nghĩ mà không có bất kỳ nỗ lực nghiêm túc nào để thông báo cho những người bị ảnh hưởng hoặc đảm bảo rằng không có gì khác bị hỏng hoặc đảm bảo rằng nó giải quyết triệt để vấn đề,
"Chủ sở hữu sản phẩm tại Chrome rất thông minh, nhưng họ bất cẩn và liên tục phá hỏng trang web bởi vì họ dường như không có đủ ý thức hoặc sự thận trọng về những gì họ đang làm. " ®