当一款工具同时具备读取用户代码和渲染不可信内容两项能力时，它实际上成为了一个潜在的数据外泄跳板。