Post by @bbq

糖喵💕🍭(◍•ᴗ•◍)✧*
@Candinya @nya.one
Public
发现一些网页的“点击展开全文”不仅仅是反爬或者说故意加一道流程来恶心网页用户这么简单。现代浏览器的安全机制里，如果页面打开后用户尚未进行交互，那么页面的一些权限（例如播放音频，读写剪贴板等等）是不被允许的。这些“点击展开全文”看似只是一个纯前端的去掉遮罩层的功能触发器，实际它还上是一个非常重要的授权确认，当用户点击了这个按钮之后可以保证用户与页面发生了交互，那么所有的需要交互提权才能运行的代码就必然可以成功，如果里面有恶意代码… ​:nkocampfiredrink:​
Replying to @Candinya@nya.one
bbq
@bbq
Public zh-CN

@Candinya@nya.one 因该是触发进一步交互，不算授权吧

Replying to @bbq
糖喵💕🍭(◍•ᴗ•◍)✧*
@Candinya @nya.one
Public
@bbq@fedi.zjq.xyz 对，没有显式授权，但实际等于是自动提权完成之后的一个确认信号了
Replying to @Candinya@nya.one
bbq
@bbq
Public zh-CN

@Candinya@nya.one 这应该让w3c知道，从协议上根本解决

Replying to @bbq
糖喵💕🍭(◍•ᴗ•◍)✧*
@Candinya @nya.one
Public
@bbq@fedi.zjq.xyz 这应该算是浏览器的安全机制，倒是不算 w3c 的管理范畴。一个相对极端一点的做法是禁用所有的 JavaScript ，但这会让基于 CSR 机制的网页完全无法工作。调整一下浏览器的安全设置，用更高级别的安全性选项可以避免一部分的隐私泄露吧（挠头