待验证50% 置信事实精确时间
在 Chromium 中，file:// 页面可以 fetch() 读取其他本地文件，且不继承任何 CSP。
1
来源数
50%
置信度
长期有效
时效性
2026/10/18
首次发现
来源
Claude Code预览窗漏洞：代理安全之外的攻击面
rss2026/10/18
涉及实体
相关事实
待验证CSP 只在通过 HTTP(S) 或 data: URL 加载的文档上生效，file:// 协议加载的本地文件默认不继承任何 CSP。71% 相似待验证undetected-chromedriver采用从浏览器二进制层面直接patch Chromium源码修改特征的底层思路，而非在JavaScript层打补丁60% 相似待验证小于 256KB 的 HTML 文件在预览面板中以 data: URL 加载，带有 script-src 'none' 的 CSP 和不透明源，内嵌脚本被拦截。59% 相似待验证data: URL 将文件内容内嵌在 URL 中，浏览器将其视为不透明源，无法通过相对路径或脚本访问其他本地文件。58% 相似待验证预览面板通常基于Chromium的WebView或类似组件实现，默认具备完整的JavaScript执行能力，并可能拥有对本地文件系统的读取权限。57% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1061013API
curl https://kongchang.com/api/v1/knowledge/claims/1061013MCP
get_claim(id=1061013)