谷歌發布了Chrome 105網頁瀏覽器，同時作為Chrome基礎的免費Chromium專案也發布了穩定版本。 Chrome 瀏覽器與 Chromium 的不同之處在於使用 Google 標誌、存在崩潰時發送通知的系統、播放受版權保護的影片內容 (DRM) 的模組、自動安裝更新的系統、永久啟用沙盒隔離，向Google API提供金鑰並在搜尋時傳輸RLZ- 參數。對於那些需要更多時間更新的人，單獨支援 Extended Stable 分支，隨後是 8 週。 Chrome 106 的下一個版本計劃於 27 月 XNUMX 日發布。
Chrome 105 的主要變化：
- 對專用 Web 應用程式 Chrome Apps 的支援已停止，取而代之的是基於漸進式 Web 應用程式 (PWA) 技術和標準 Web API 的獨立 Web 應用程式。谷歌最初在 2016 年宣布打算放棄 Chrome Apps，並計劃在 2018 年之前停止支援它們，但後來推遲了這項計畫。在 Chrome 105 中，當您嘗試安裝 Chrome 應用程式時，您將收到警告，指出它們將不再受支持，但應用程式將繼續運行。在 Chrome 109 中，執行 Chrome 應用程式的功能將會停用。
- 為負責渲染的渲染器程序提供額外的隔離。此過程現在在另一個容器（應用程式容器）中執行，該容器在現有沙箱隔離系統之上實現。如果渲染程式碼中的漏洞被利用，則新增的限制將透過阻止存取與網路功能相關的系統呼叫來阻止攻擊者存取網路。
- 實現了自己的認證機構根證書的統一儲存（Chrome Root Store）。預設情況下，新儲存尚未啟用，在實施完成之前，將繼續使用特定於每個作業系統的儲存體來驗證憑證。正在測試的解決方案讓人想起 Mozilla 的方法，該方法為 Firefox 維護一個單獨的獨立根證書存儲，用作通過 HTTPS 打開站點時檢查證書信任鏈的第一個鏈接。
- 棄用 Web SQL API 的準備工作已經開始，該 API 是非標準化的，大部分未使用，需要重新設計以滿足現代安全要求。 Chrome 105 阻止從不使用 HTTPS 載入的程式碼存取 Web SQL，並且在 DevTools 中也加入了棄用警告。 Web SQL API 計畫於 2023 年刪除。對於需要此類功能的開發人員，將準備基於 WebAssembly 的替代品。
- Chrome 同步不再支援與 Chrome 73 及更早版本同步。
- 對於macOS和Windows平台，啟動內建憑證檢視器，取代呼叫作業系統提供的介面。此前，內建檢視器僅用於 Linux 和 ChromeOS 的建置。
- Android 版本新增了管理主題和興趣群組 API 的設置，該 API 作為 Privacy Sandbox 計劃的一部分進行推廣，可讓您定義使用者興趣類別並使用它們而不是追蹤 Cookie 來識別具有相似興趣的使用者群組，而無需識別個人用戶。在上一個版本中，Linux、ChromeOS、macOS 和 Windows 版本中新增了類似的設定。
- 當您啟用增強型瀏覽器保護（安全性瀏覽 > 增強型保護）時，系統會收集有關已安裝的加載項、API 存取權以及外部網站連線的遙測資料。這些資料在 Google 伺服器上用於偵測瀏覽器外掛程式的惡意活動和違反規則的行為。
- 已棄用，並將阻止在 Chrome 106 的 Cookie 標頭中指定的網域中使用非 ASCII 字元（對於 IDN 網域，網域必須採用 punycode 格式）。此變更將使瀏覽器符合 RFC 6265bis 以及 Firefox 中實現的行為。
- 提出了自訂突出顯示 API，旨在任意更改文字選取區域的樣式，讓您不受瀏覽器為突出顯示區域（::selection、::inactive-selection）和突出顯示提供的固定樣式的限制語法錯誤（::拼字錯誤、::文法錯誤）。 API 的第一個版本支援使用顏色和背景顏色偽元素來變更文字和背景顏色，但將來將添加其他樣式選項。
作為使用新 API 可以解決的任務的一個例子，提到了添加到提供文本編輯工具的 Web 框架、它們自己的文本選擇機制、多個用戶同時聯合編輯的不同突出顯示、虛擬化文檔中的搜索，並在檢查拼字時標記錯誤。如果先前建立非標準突出顯示需要使用 DOM 樹進行複雜的操作，那麼自訂突出顯示 API 提供了現成的操作來新增和刪除突出顯示，這些操作不會影響 DOM 結構並套用與 Range 物件相關的樣式。
- 在 CSS 中新增了「@container」查詢，允許根據父元素的大小設定元素的樣式。 「@container」與「@media」查詢類似，但不應用於整個可見區域的大小，而是應用於放置元素的區塊（容器）的大小，這允許您設定自己的子元素的樣式選擇邏輯，無論元素放置在頁面上的確切位置。
- 新增了 CSS 偽類「:has()」來檢查父元素中是否存在子元素。例如，「p:has(span)」涵蓋內部有 元素的 元素。
- 新增了 HTML Sanitizer API，該 API 可讓您透過 setHTML() 方法在輸出期間從內容中刪除影響顯示和執行的元素。此 API 可用於清理外部數據，以刪除可用於執行 XSS 攻擊的 HTML 標籤。
- 可以使用 Streams API (ReadableStream) 在載入回應正文之前發送獲取請求，即您可以開始發送數據，而無需等待頁面產生完成。
- 對於已安裝的獨立 Web 應用程式（PWA、漸進式 Web 應用程式），可以使用 Window Controls Overlay 元件更改視窗標題區域的設計，該元件將 Web 應用程式的螢幕區域擴展到整個視窗並使Web 應用程式具有常規桌面應用程式的外觀。 Web 應用程式可以控制整個視窗中輸入的渲染和處理，但具有標準視窗控制按鈕（關閉、最小化、最大化）的覆蓋區塊除外。
- 從專用工作線程（在 DedicatedWorker 上下文中）存取媒體來源擴充功能的能力已經穩定，例如，可以透過在單獨的工作線程中建立 MediaSource 物件並廣播媒體來源物件來提高多媒體資料緩衝播放的效能。其工作結果傳遞給主線程中的HTMLMediaElement 。
- 在Client Hints API 中，該API 正在開發中，用於替換User-Agent 標頭，並允許您僅在伺服器發出請求後有選擇地提供有關特定瀏覽器和系統參數（版本、平台等）的數據，支援Sec新增了-CH-Viewport-Heigh屬性，讓您可以取得可見區域高度的資訊。用於在「meta」標籤中指定外部資源的用戶端提示參數的標記格式已變更：先前： 現在：
- 新增了建立全域onbeforeinput 事件處理程序(document.documentElement.onbeforeinput) 的功能，借助該處理程序，Web 應用程式可以在編輯、 區塊和其他具有「contenteditable」屬性集的元素中的文字時覆蓋行為，在元素內容和DOM樹改變瀏覽器之前的階段。
- 導航 API 的功能已擴展，允許 Web 應用程式攔截視窗中的導航操作、啟動轉換並分析應用程式的操作記錄。新增了新方法 Intercept() 來攔截轉換，並新增了 Scroll() 來捲動到給定位置。
- 新增靜態方法Response.json()，可根據JSON類型的資料產生回應體。
- Web 開發人員的工具已改進。在偵錯器中，當觸發斷點時，允許編輯堆疊中的頂部函數，而不會中斷偵錯會話。記錄器面板可讓您記錄、回放和分析頁面上的使用者操作，支援斷點、逐步回放和記錄滑鼠懸停事件。
LCP（最大內容繪製）指標已新增至效能儀表板中，以識別在可見區域中渲染大型（使用者可見）元素（例如影像、影片和區塊元素）時的延遲。在「元素」面板中，顯示在其他內容之上的頂層會以特殊圖示進行標記。 WebAssembly 現在能夠載入 DWARF 格式的偵錯資料。
除了創新和錯誤修復之外，新版本還消除了 24 個漏洞。許多漏洞是透過使用 AddressSanitizer、MemorySanitizer、控制流程完整性、LibFuzzer 和 AFL 工具進行自動化測試而發現的。目前還沒有發現任何嚴重問題可以讓人們繞過所有層級的瀏覽器保護並在沙箱環境之外的系統上執行程式碼。作為為當前版本的漏洞提供現金獎勵計劃的一部分，Google 支付了21 個價值60500 美元的獎項（10000 個9000 美元獎勵，7500 個7000 美元獎勵，5000 個3000 美元獎勵，2000 個1000 美元獎勵，XNUMX 個XNUMX 美元獎勵，XNUMX 個XNUMX 美元獎勵，XNUMX 個XNUMX 美元獎勵。 ). XNUMX 美元和一筆 XNUMX 美元的獎金)。七項獎勵的金額尚未確定。
來源： opennet.ru