谷歌发布了 Chrome 浏览器 154 版本。作为 Chrome 基础的开源 Chromium 项目也发布了稳定版。Chrome 与 Chromium 的区别在于：它使用了谷歌的徽标，配备了崩溃通知系统，支持播放受版权保护的视频内容（DRM），支持自动更新安装，始终开启沙盒隔离，提供谷歌 API 密钥，以及在搜索过程中传递 RLZ 参数。对于需要更多时间更新的用户，谷歌维护了一个为期八周的扩展稳定版分支。下一个版本 Chrome 155 计划于 8 月 6 日发布，并开启新的两周开发周期。
Chrome 154 版本的主要变更（1、2、3、4）：
- 用户可以通过地址栏或新标签页与人工智能助手进行交互，这一人工智能模式已得到进一步完善。新版本允许美国用户在指定网店购物时使用 Gemini 人工智能助手进行虚拟试穿。iOS 版 Chrome 现在支持与 Gemini 进行实时语音通信，例如，可以讨论当前打开的网页内容。
- 作为隐私沙盒计划一部分而开发的 API 和技术已被移除，不再用于替代第三方 Cookie。由于 Chrome 决定继续支持第三方 Cookie，提供这些 API 的初衷已不再成立。以下 API 已被移除：主题（取代 FLoC API）、受保护受众 API、共享存储 API、归因报告 API、私有聚合、相关网站集 API 和 requestStorageAccessFor。
- 在平台版本中 Android 本地网络保护 (LNP) 模式已启用，应用程序访问内部内网子网（192.168.xx、10.xxx 等）需要单独授权。此模式可阻止对本地网络资源的攻击，并防止网络扫描以进行隐蔽的用户身份识别和用户环境信息的收集。
- 现在，通过后台获取 API 发出请求时，需要在向目标服务器发送数据时获得 LNA（本地网络访问）权限。 伺服器 在本地网络（例如 192.168.0.0/16、10.0.0.0/8 等）或访问环回接口（例如 127.0.0.0/8）时，会受到限制。此外，后台获取 API 已实施 CORS（跨域资源共享）检查，以统一应用于后台获取和获取 API 的限制。这些更改可防止使用后台获取绕过跨域限制，并对路由器、接入点、打印机、企业 Web 界面以及其他仅接受来自本地网络请求的设备和服务执行 CSRF 攻击。
- 新增了可选的优化模式“ServiceWorkerAutoPreload”，该模式会在 Service Worker 初始化的同时发送网络请求。
- 已添加 HTML 元素此外，JavaScript API 的 Web Install 方法（navigator.install()）旨在提示网站安装 Web 应用程序。安装过程会在用户明确确认操作后进行。此功能可用于创建 Web 应用程序目录，或简化 Web 应用程序的安装，以便与当前网站配合使用。
- 新增了窗口形状 API（window.setShape 方法），允许沙盒化的 Web 应用程序更改窗口形状，例如创建非矩形窗口、浮动面板和重叠元素。此 API 目前仅适用于 ChromeOS。
- 新增了用于管理网页表单中自动填充内容类型的设置。例如，您可以禁用联系信息和支付信息的保存和自动填充功能。您还可以配置 URL 模板，以禁用特定网站的自动填充功能。
- 默认情况下，通过 HTTP 访问网站时会显示操作确认请求。
- 新增了对 iframe 块响应式尺寸的支持，可自动调整尺寸以适应内容，防止出现内部滚动条。此功能可通过在父页面中指定 CSS 属性“frame-sizing”（例如，“frame-sizing: content-height”）并将 `<iframe>` 元素添加到 iframe 内容头部来启用。 '。
- CSS 属性 `scroll-marker-group` 实现了“链接”和“标签”两种模式，用于控制焦点切换顺序。在“链接”模式下，滚动标记组（`::scroll-marker-group`）充当常规导航菜单（滚动标记被视为链接，使用 Tab 键进行导航）。在“标签”模式下，滚动标记组充当一组标签，使用导航键在标签之间切换。此外，还有两个参数 `before` 和 `after`，用于控制滚动标记组相对于内容的处理方式（如果指定 `before`，则滚动标记组会先于内容进行处理；而 `after` 则仅在内容导航完成后才处理滚动标记组）。
- 已实现 CSS 属性 text-decoration-inset。它允许您自定义装饰器（下划线、删除线等）相对于文本边缘的起始和结束位置。例如，要将装饰器缩短 10 像素，您可以指定“text-decoration-inset: 10px;”；要将其延长 10 像素，您可以指定“text-decoration-inset: -10px;”。
- JavaScript Iterator 接口中新增了 Iterator.prototype.includes 方法，用于检查迭代器是否包含特定元素。
- “Origin 试用”模式采用了私有验证令牌 (PVT) 机制，该机制允许用户在以隐私浏览模式打开网站时传输匿名令牌，从而区分真实用户和机器人。这消除了验证码、强制身份验证和 Cookie 跟踪的必要性。令牌代表成功的身份验证或反机器人验证（在一个网站上已通过的验证可用于连接到其他网站，无需额外验证）。
除了新增功能和修复漏洞外，新版本还修复了 108 个漏洞。其中 11 个被评为严重级别，这意味着它们可以绕过所有浏览器保护层，并在沙盒环境之外执行代码。4 个严重级别漏洞是由 AdFilter、WindowDialog、ServiceWorker 和 Fullscreen API 中的释放后使用漏洞引起的，而 7 个严重级别漏洞是由 WebGL、ANGLE 和 GPU 代码中的缓冲区溢出漏洞引起的。
来源： opennet.ru
