גרסה 80 של Chrome

גוגל מוצג שחרור דפדפן אינטרנט כרום 80... בּוֹ זְמַנִית זמין שחרור יציב של פרויקט חינמי כרום, המשמש כבסיס של Chrome. דפדפן כרום אחר שימוש בלוגו של גוגל, נוכחות מערכת לשליחת הודעות במקרה של קריסה, יכולת הורדת מודול פלאש לפי בקשה, מודולים להפעלת תוכן וידאו מוגן (DRM), מערכת להתקנה אוטומטית של עדכונים ושידור במהלך החיפוש פרמטרים של RLZ. המהדורה הבאה של Chrome 81 מתוכננת ל-17 במרץ.

העיקרי שינויים в Chrome 80:

• עבור אחוז קטן מהמשתמשים, מוצעת פונקציית קיבוץ כרטיסיות, המאפשרת לשלב מספר כרטיסיות עם מטרות דומות לקבוצות מופרדות ויזואלית. לכל קבוצה ניתן להקצות צבע ושמה משלה. משתמשים שלא נכללו בגל ההפעלה הראשון יכולים לאפשר תמיכה בקיבוץ דרך האפשרות "chrome://flags/#tab-groups".
  

• נוספה תמיכה עבור תכונה זו גלול לטקסט, המאפשר לך ליצור קישורים למילים או ביטויים בודדים מבלי לציין מפורשות תוויות במסמך באמצעות תג "שם" או המאפיין "מזהה". התחביר של קישורים כאלה מתוכנן להיות מאושר כתקן אינטרנט, שעדיין נמצא בשלב טְיוּטָה. מסכת המעבר (בעצם חיפוש גלילה) מופרדת מהעוגן הרגיל על ידי התכונה ":~:". לדוגמה, כאשר אתה פותח את הקישור "https://opennet.ru/52312/#:~:text=Chrome" העמוד יעבור למיקום עם האזכור הראשון של המילה "Chrome" והמילה הזו תסומן .
• הוחל הגבלה מחמירה יותר על העברת קובצי Cookie בין אתרים, עבור בקשות שאינן HTTPS, האוסרת על עיבוד קובצי Cookie של צד שלישי המוגדרים בעת גישה לאתרים שאינם הדומיין של הדף הנוכחי. עוגיות כאלה משמשות למעקב אחר תנועות משתמשים בין אתרים בקוד של רשתות פרסום, ווידג'טים של רשתות חברתיות ומערכות ניתוח אינטרנט. נזכיר שכדי לשלוט בהעברת קובצי Cookie, נעשה שימוש בתכונת SameSite המצוינת בכותרת Set-Cookie, אשר כברירת מחדל מוגדרת כעת לערך "SameSite=Lax", המגביל את שליחת קובצי Cookie עבור בקשות משנה חוצות אתרים , כגון בקשת תמונה או טעינת תוכן דרך iframe מאתר אחר. אתרים יכולים לעקוף את התנהגות ברירת המחדל של SameSite על ידי הגדרה מפורשת של הגדרת Cookie ל- SameSite=None. עם זאת, ניתן להגדיר את הערך SameSite=None for Cookie רק במצב מאובטח (תקף לחיבורים באמצעות HTTPS). השינוי יתחיל בשלבים להגיש מועמדות 17 בפברואר, תחילה עבור אחוז קטן מהמשתמשים, ולאחר מכן הרחבת הכיסוי בהדרגה.
• נוסף הגנה מפני הודעות מעצבנות הקשורות לאישור אישורים. מכיוון שפעילות כמו זבל של בקשות דחיפה קוטעת את חוויית המשתמש ומסיחה את תשומת הלב מתייבות דו-שיח לאישור, ב-Chrome 80, במקום תיבת דו-שיח נפרדת, כעת ניתן להציג הסבר מידע בשורת הכתובת שבקשת ההרשאה נחסמה. הוא מתמוטט לתוך מחוון עם תמונה של פעמון עם חוצה. בלחיצה על המחוון, תוכל להפעיל או לדחות את ההרשאה המבוקשת בכל זמן נוח. באופן אוטומטי, המצב החדש יופעל באופן סלקטיבי עבור משתמשים שבעבר חסמו בדרך כלל בקשות כאלה, וכן עבור אתרים שמתעדים אחוז גדול של בקשות שנדחו. כדי להפעיל את המצב החדש עבור כל הבקשות, נוספה אפשרות מיוחדת להגדרות (chrome://flags/#quiet-notification-prompts).
  

• אָסוּר הצגת חלונות קופצים (הקוראים לשיטת window.open()) ושליחת XMLHttpRequests סינכרוניות במטפלי אירוע סגירה או הסתרה של עמודים (פרוק, לפני ביטול, pagehide ו-visibilitychange);
• ראשונית מוצעת הגנה מטעינת תוכן מולטימדיה מעורב (כאשר משאבים נטענים בדף HTTPS באמצעות פרוטוקול http://). בדפים שנפתחו באמצעות HTTPS, קישורי "http://" יוחלפו כעת אוטומטית ב-"https://" בבלוקים המשויכים להפעלת קובצי אודיו ווידאו. אם משאב אודיו או וידאו אינו זמין דרך https, הורדתו חסומה (ניתן לסמן ידנית את החסימה דרך התפריט הנגיש דרך סמל המנעול בשורת הכתובת).

  התמונות ימשיכו להיטען ללא שינוי (התיקון האוטומטי יוחל ב-Chrome 81), אך כדי להחליף אותן ב-https או לחסום תמונות, מפתחי האתר מקבלים את מאפייני ה-CSP upgrade-insecure-requests ו-block-all-mixed-content. עבור סקריפטים ואיפריימים, חסימת תוכן מעורב כבר יושמה בעבר.

• הדרגתי כיבוי תמיכה ב-FTP. כברירת מחדל, תמיכת FTP עדיין זמינה, אבל תהיה מוּחזָק ניסוי שבו תמיכת FTP תושבת עבור אחוז מסוים מהמשתמשים (כדי לחזור תצטרך להפעיל את הדפדפן עם אפשרות "-enable-ftp"). נזכיר כי במהדורות קודמות התצוגה בחלון הדפדפן של תוכן המשאבים שהורדו באמצעות פרוטוקול "ftp://" כבר הושבתה (לדוגמה, הופסקה הצגת מסמכי HTML וקבצי README), השימוש ב-FTP היה אסור בעת הורדת משאבי משנה ממסמכים, והתמיכה ב-proxy הופסקה עבור FTP. עם זאת, עדיין ניתן היה להוריד קבצים דרך קישורים ישירים ולהציג את התוכן של ספריות.
• נוסף
  היכולת להשתמש בתמונות SVG וקטוריות כסמל אתר (favicon).

• להגדרות נוספה היכולת לבטל באופן סלקטיבי סוגים מסוימים של נתונים המועברים במהלך סנכרון בין דפדפנים.
• התווסף כלל עבור משתמשים ארגוניים בניהול מרכזי הרחבות BlockExternal, המאפשר למנוע התקנה של תוספות חיצוניות במכשיר.
• מוטמע הזדמנות בדיקה חד פעמית של כל שרשרת המאפיינים או הקריאות ב-JavaScript. לדוגמה, בעת גישה ל- "db.user.name.length" היה צורך בעבר לבדוק את ההגדרה של כל הרכיבים שלב אחר שלב, למשל, באמצעות "if (db && db.user && db.user.name)". כעת משתמשים בפעולה "?." אתה יכול לגשת לערך "db?.user?.name?.length" ללא בדיקות מקדימות וגישה כזו לא תוביל לשגיאה. במקרה של בעיות (אם רכיב כלשהו מטופל כ-null או לא מוגדר)) הפלט יהיה "לא מוגדר".
• JavaScript מציג אופרטור שרשור לוגי חדש "??", שמחזיר את האופרנד הימני אם האופרנד השמאלי הוא NULL או לא מוגדר, ולהיפך. לדוגמה, "const foo = bar ?? 'מחרוזת ברירת מחדל'" אם bar הוא null, יחזיר את הערך של bar אחרת, כולל כאשר bar הוא 0 ו- ' ', בניגוד לאופרטור "||".
• במצב ניסויים של Origin (תכונות ניסוי הדורשות נפרדות הַפעָלָה) הציע API לאינדקס תוכן. ניסיון של Origin מרמז על היכולת לעבוד עם ה-API שצוין מיישומים שהורדו מ-localhost או 127.0.0.1, או לאחר רישום וקבלת אסימון מיוחד שתקף לזמן מוגבל עבור אתר ספציפי. ממשק API אינדקס תוכן, מספק מטא נתונים לגבי תוכן שנשמר בעבר על ידי יישומי אינטרנט הפועלים במצב Progressive Web Apps (PWS). האפליקציה יכולה לשמור נתונים שונים בצד הדפדפן, כולל תמונות, סרטונים ומאמרים, וכאשר החיבור לרשת אבד, להשתמש בו באמצעות ה-Cache Storage ו-APIs IndexedDB. API של אינדקס תוכן מאפשר להוסיף, למצוא ולמחוק משאבים כאלה. בדפדפן, ממשק API זה כבר משמש לרשימת דפים ונתוני מולטימדיה הזמינים לצפייה לא מקוונת.
  

• מיוצב ומופץ כעת מחוץ ל- Origin Trials API צור קשר עם Picker, המאפשר למשתמש לבחור ערכים מפנקס הכתובות ולשדר פרטים מסוימים אודותיהם לאתר. הבקשה מציינת רשימה של מאפיינים שיש לאחזר. מאפיינים אלו מוצגים במפורש למשתמש, אשר מחליט אם להעביר את המאפיינים הללו או לא. ניתן להשתמש ב-API, למשל, בלקוח דואר אינטרנט לבחירת נמענים למכתב שנשלח, באפליקציית אינטרנט עם פונקציית VoIP כדי ליזום שיחה למספר מסוים, או ברשת חברתית לחיפוש חברים שכבר רשומים . במקביל, כחלק מהניסויים של Origin, מוצעים כמה מאפייני Contact Picker חדשים: בנוסף לשם המלא, המייל ומספר הטלפון הזמינים בעבר, נוספה האפשרות להעביר כתובת מייל ותמונה.
• ב-Web Workers מוּצָע דרך חדשה לטעון מודולי ECMAScript, המאפשרת לך להימנע משימוש בפונקציה importScripts() אשר חוסמת את העובד בזמן עיבוד הסקריפט המיובא ומבצעת אותו בהקשר הגלובלי. השיטה החדשה כוללת יצירת מודולים מיוחדים עבור Web Workers התומכים במנגנוני ייבוא ​​סטנדרטיים של JavaScript וניתנים לטעינה דינמית מבלי לחסום את ביצוע העובד. כדי לטעון מודולים, הבנאי Worker מספק סוג משאב חדש - 'מודול':

  const worker = new Worker('worker.js', {
  סוג: 'מודול'
  });

• מוטמע היכולת המובנית של JavaScript לעבד זרמים דחוסים ללא צורך בשימוש בספריות חיצוניות. ממשקי API נוספו עבור דחיסה ופירוק CompressionStream ו-DecompressionStream. דחיסה באמצעות אלגוריתמים gzip ו-deflate נתמכת.

  const compressionReadableStream
  = inputReadableStream.pipeThrough(new CompressionStream('gzip'));

• מאפיין CSS נוסף "שובר שורות: בכל מקום", המאפשר הפסקות ברמה של כל תו טיפוגרפי, כולל הפסקות ליד תווי פיסוק שהוגדרו מראש על ידי רווחים ( ) ובאמצע המילים. נוסף גם מאפיין CSS "overflow-wrap: בכל מקום» מאפשר לך לשבור רצפים רצופים של תווים בכל מקום אם לא נמצא מיקום מתאים להפסקה בשורה.
• עבור הקשר מדיה המעובד בצורה מוצפנת, יושמה תמיכה בשיטה MediaCapabilities.decodingInfo(), המספק מידע על יכולות הדפדפן לפענוח תוכן מוגן (לדוגמה, ניתן להשתמש בשיטה זו לבחירת תרחישי פענוח איכותיים או חסכוניים באנרגיה בהתבסס על רוחב פס זמין וגודל מסך).
• שיטה נוספה HTMLVideoElement.getVideoPlaybackQuality(), שדרכו תוכל לקבל מידע על ביצועי הפעלת וידאו כדי להתאים קצב סיביות, רזולוציה ופרמטרים אחרים של וידאו.
• ב-API מטפל בתשלומים, אשר מפשט אינטגרציה עם מערכות תשלום קיימות, הוסיפה את היכולת מִשׁלַחַת עיבוד כתובת ופרטי התקשרות למעבד חיצוני של מערכת התשלומים (ייתכן שבאפליקציה של מערכת התשלומים יש מידע מדויק יותר מהדפדפן).
• נוספה תמיכה בכותרות HTTP Sec-Fetch-Dest, המאפשר לשלוח מטא נתונים נוספים על סוג התוכן המשויך לבקשה (לדוגמה, עבור בקשה דרך תגית img, הסוג הוא "image", עבור גופנים - "פונט", עבור סקריפטים - "script", לסגנונות - "סגנון" וכו'). בהתבסס על הסוג שצוין, השרת יכול לנקוט באמצעים כדי להגן מפני סוגים מסוימים של התקפות (לדוגמה, אין זה סביר שקישור למטפל עבור העברת כספים יצוין באמצעות תג img, כך שבקשות כאלה לא צריכות להיות מעובד).
• במנוע JavaScript V8 ביצוע אופטימיזציה אחסון מצביעים על הערימה. במקום לאחסן את הערך המלא של 64 סיביות, רק הסיביות התחתונות הייחודיות של המצביע מאוחסנות. אופטימיזציה זו אפשרה להפחית את צריכת הזיכרון הערימה ב-40%, במחיר של קנס ביצועים של 3-8%.
  
  

• שינויים בכלים למפתחי אתרים:
  • למסוף האינטרנט יש כעת את היכולת להגדיר מחדש ביטויי let ו-class.
    

  • כלי ניפוי באגים משופרים של WebAssembly. נוספה תמיכה ננס עבור איתור באגים שלב אחר שלב, ציון נקודות שבירה וניתוח עקבות מחסנית בקוד המקור שבו נכתבת יישום WebAssembly.
    

  • פאנל משופר לניתוח פעילות הרשת. נוספה את היכולת להציג את שרשרת הקריאות של סקריפטים הקשורים להפעלת בקשה.
    

    נוספו עמודות נתיב וכתובות URL חדשות המציגות את הנתיב המוחלט ואת כתובת האתר המלאה עבור כל משאב רשת. מבטיח שהשאילתה שנבחרה מודגשת בתרשים הסקירה הכללית.

    

  • בלשונית תנאי רשת, נוספה אפשרות לשנות את הפרמטר User-Agent.
    

  • ממשק חדש הוצע להגדרת לוח הביקורת.
    

  • בכרטיסייה סיקור סיפקה את הבחירה באיסוף נתוני כיסוי עבור כל פונקציה או עבור כל בלוק קוד (סטטיסטיקה מפורטת יותר, אך דורשת יותר משאבים).
    

• פעולת Manifest AppCache (טכנולוגיה לארגון פעולת אפליקציית אינטרנט במצב לא מקוון) מוגבל הספרייה הנוכחית של האתר (אם המניפסט הורד מ-www.example.com/foo/bar/, אזי היכולת לעקוף את כתובת האתר תפעל רק בתוך /foo/bar/). תמיכת AppCache מתוכננת להסיר לחלוטין ב-Chrome 82. הסיבה שצוינה היא הרצון להיפטר מאחד הוקטורים להתקפות סקריפטים חוצי אתרים. מומלץ להשתמש ב-API במקום AppCache סליק.
• הופסק תמיכה ב-API WebVR 1.1 מדור קודם, שניתן להחליף ב-API מכשיר WebXR, המאפשרת גישה לרכיבים ליצירת מציאות מדומה ורבודה ולאחד עבודה עם סוגים שונים של מכשירים, החל מקסדות מציאות מדומה נייחות ועד לפתרונות המבוססים על מכשירים ניידים.
• מטפלי פרוטוקול המחוברים באמצעות המתודות registerProtocolHandler() ו-unregisterProtocolHandler() יכולים כעת לעבוד רק בהקשר מאובטח (כאשר הגישה אליהם מתבצעת באמצעות HTTPS).

בנוסף לחידושים ותיקוני באגים, הגרסה החדשה מבטלת 56 נקודות תורפה. רבות מהחולשות זוהו כתוצאה מבדיקות אוטומטיות עם כלים AddressSnitizer, MemorySnitizer, שליטה בשלמות הזרימה, LibFuzzer и AFL. לא זוהו בעיות קריטיות שיאפשרו לעקוף את כל רמות ההגנה על הדפדפן ולהפעיל קוד במערכת מחוץ לסביבת ארגז החול. כחלק מהתוכנית לתגמול כספי על גילוי נקודות תורפה עבור המהדורה הנוכחית, גוגל שילמה 37 פרסים בשווי 48 אלף דולר (פרס אחד של $10000, שלושה פרסים של $5000, שלושה פרסים של $3000, ארבעה פרסים של $2000, שלושה פרסים של $1000 ושישה פרסים של $500). גודלם של 17 תגמולים טרם נקבע.

מקור: OpenNet.ru