待验证50% 置信事实精确时间
data: URL 将文件内容内嵌在 URL 中，浏览器将其视为不透明源，无法通过相对路径或脚本访问其他本地文件。
1
来源数
50%
置信度
长期有效
时效性
2026/10/18
首次发现
来源
Claude Code预览窗漏洞：代理安全之外的攻击面
rss2026/10/18
涉及实体
相关事实
待验证llms.txt 中的链接应使用绝对 URL，因为读者可能在脱离上下文的场景中解析文件，没有可靠的 base 来解析相对路径。72% 相似待验证URL 是 URI 的一个子集，用于可定位的资源。70% 相似待验证图像 URL 输入允许直接传入可公开访问或已授权的图片链接，减少客户端带宽与内存开销，但服务端仍需拉取该 URL 内容，对链接可达性、内容类型和访问权限有要求。67% 相似待验证CSP 只在通过 HTTP(S) 或 data: URL 加载的文档上生效，file:// 协议加载的本地文件默认不继承任何 CSP。67% 相似待验证小于 256KB 的 HTML 文件在预览面板中以 data: URL 加载，带有 script-src 'none' 的 CSP 和不透明源，内嵌脚本被拦截。65% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1061018API
curl https://kongchang.com/api/v1/knowledge/claims/1061018MCP
get_claim(id=1061018)