待验证50% 置信事实精确时间
CSP 只在通过 HTTP(S) 或 data: URL 加载的文档上生效，file:// 协议加载的本地文件默认不继承任何 CSP。
1
来源数
50%
置信度
长期有效
时效性
2026/10/18
首次发现
来源
Claude Code预览窗漏洞：代理安全之外的攻击面
rss2026/10/18
涉及实体
相关事实
待验证在 Chromium 中，file:// 页面可以 fetch() 读取其他本地文件，且不继承任何 CSP。71% 相似待验证CSP（内容安全策略）是一组由服务端通过 HTTP 响应头（如 Content-Security-Policy）下发的浏览器安全规则，用于声明页面允许加载哪些来源的资源，典型指令包括 script-src、img-src、connect-src 和 frame-ancestors。69% 相似待验证data: URL 将文件内容内嵌在 URL 中，浏览器将其视为不透明源，无法通过相对路径或脚本访问其他本地文件。67% 相似待验证小于 256KB 的 HTML 文件在预览面板中以 data: URL 加载，带有 script-src 'none' 的 CSP 和不透明源，内嵌脚本被拦截。67% 相似待验证将CSS和JavaScript内联到单个HTML文件中，虽然牺牲了代码可维护性，但实现了一个文件即整个网站的零障碍部署65% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1061017API
curl https://kongchang.com/api/v1/knowledge/claims/1061017MCP
get_claim(id=1061017)