待验证50% 置信事实精确时间
小于 256KB 的 HTML 文件在预览面板中以 data: URL 加载，带有 script-src 'none' 的 CSP 和不透明源，内嵌脚本被拦截。
1
来源数
50%
置信度
长期有效
时效性
2026/10/15
首次发现
来源
Claude Code桌面版256KB预览漏洞：可窃取SSH密钥
rss2026/10/15
涉及实体
相关事实
待验证将CSS和JavaScript内联到单个HTML文件中，虽然牺牲了代码可维护性，但实现了一个文件即整个网站的零障碍部署76% 相似待验证请求过滤器仅在面板代理开发服务器时才会拦截 file:// 读取，渲染磁盘静态 HTML 文件时不生效。69% 相似待验证静态页面的所有内容在HTML文件中已确定，浏览器可通过file://协议直接打开渲染，不需要后端服务器处理68% 相似待验证一个普通网页的原始HTML往往包含数万个Token的冗余内容，包括CSS样式表、JavaScript代码、广告脚本、导航菜单等67% 相似待验证AI生成的HTML产物存储在Supabase Storage而非PostgreSQL中，因为HTML是完整文件只需整体读写，且文件可能达几十KB到几百KB67% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1035308API
curl https://kongchang.com/api/v1/knowledge/claims/1035308MCP
get_claim(id=1035308)