其他

Add javascriptURLs option to SanitizerConfig and Sanitizer 链接已复制!

https://github.com/whatwg/html/pull/12898

Sanitizer API 还会对用于导航的 javascript:-URL 进行清理。最初,这是任何使用 Sanitizer 的“安全”方法的附带效果,而对于任何“不安全”方法则不会执行此操作。HTML 标准最近对此进行了规范,使其成为开发者可选择的选项,而不是特定方法的附带效果。

不使用此选项时的行为保持不变。

安全

CORS enforcement for Background Fetch 链接已复制!

从 Chrome 157 版本开始,后台获取 API 强制执行跨域资源共享 (CORS)。此次更新使 Chromium 的实现与后台获取规范的意图保持一致。这确保了后台获取请求与常规获取请求一样,受到相同的安全策略约束,例如本地网络访问检查。

此更新可防止网站通过使用后台获取而不是常规获取来绕过 CORS(和其他安全策略检查)。

CSS

CSS corner shorthand properties 链接已复制!

实现了 CSS 角点简写及其子简写(corner-top-left、corner-top-right、corner-bottom-left、corner-bottom-right),以及物理(corner-top、corner-bottom)和逻辑(corner-block-start、corner-block-end 等)边缘简写。这些简写允许在单个声明中为各个角点设置 border-radius 和 corner-shape。此外,corners 被保留为 corner 简写的一个兼容别名。

示例: https://static.januschka.com/i-425897047/

CL: https://chromium-review.googlesource.com/c/chromium/src/+/7747994

CSS position-visibility:anchor{s}-valid 链接已复制!

anchors-valid值最初是在https://crbug.com/329703412中实现的,但由于规范中对该值的确切定义存在疑问,后来被撤销。此后,该值已重命名为anchor-valid (参见https://chromestatus.com/feature/5136123851571200 ),并且其定义也更加明确,只表明只有默认锚点有效,从而消除了许多歧义,并使该值可以发布。

CSS text-decoration-inset 链接已复制!

CSS 的 `text-decoration-inset` 属性控制下划线、上划线和删除线等装饰元素与文本边缘的内缩或外扩距离。它支持 `auto`、`length` 和 `percentage` 三种值,包括用于设置起始偏移量和结束偏移量的单值和双值语法。这使得开发者能够调整装饰元素的间距,并使用原生文本装饰元素创建显示效果,而无需使用背景渐变或其他元素。

示例: https ://static.januschka.com/i-468928416/?asddsaasd MDN:https: //developer.mozilla.org/en-US/docs/Web/CSS/Reference/Properties/text-decoration-inset

CL: https://chromium-review.googlesource.com/c/chromium/src/+/7748204

Ship anchor-visible and anchor-valid, and deprecate the plural versions 链接已复制!

CSSWG 决定将anchors-valid重命名为anchor-valid [1],将anchors-visible重命名为anchor-visible [2]。为此,我们将把属性名改为单数形式,并为单数形式添加别名。稍后,我们将移除复数形式。本次更新仅涉及发布新版本,并弃用旧版本(但不会移除旧版本)。

[1] https://github.com/w3c/csswg-drafts/issues/10201#issuecomment-4180411971 [2] https://github.com/w3c/csswg-drafts/issues/10201#issuecomment-4390233490

DOM

待审核

Capability Elements Icon-only mode 链接已复制!

引入了一个新属性,可以使用displaymode属性将功能元素(<camera>、<microphone> 和 <geolocation>)渲染为不带文本的紧凑图标按钮。这为开发者提供了灵活的 UI 密度,可用于地图控件和视频浮动托盘等空间布局,同时保留了原生安全保证和全屏阅读器可访问性。

这是对最近发布的 Capability Elements 功能的扩展https://chromestatus.com/feature/5153829504024576

Renewed HTML insertion&streaming methods 链接已复制!

公开多种 HTML 设置方法,为将标记动态插入现有文档提供连贯的方案。

  • 以 HTML 作为参数的位置方法(before/after/append/prepend/replaceWith),有效地取代了 insertAdjacentHTML。
  • 返回 WritableStream 的流式方法(stream{Append}HTML{Unsafe}),接收文本作为输入并解析 HMHL。
  • 将 {runScripts} 作为 SetHTMLUnsafeOptions 的一部分传递,模拟 createContextualFragment 的行为。
  • 支持受信任类型中的 createParserOptions,允许受信任类型覆盖脚本模式和清理器。

图形

性能

新的源试用 (Origin Trials)

Connection Allowlists - Embedded Enforcement 链接已复制!

连接允许列表 ( https://chromestatus.com/feature/5175745573945344 ) 是一项旨在通过限制文档或 Worker 通过 Fetch API 或其他 Web 平台 API 发起的连接,从而提供对外部端点的显式控制的功能。此功能扩展了连接允许列表,使其支持对 iFrame 和嵌套文档/Worker 进行嵌入式强制执行。这允许父文档对嵌入内容强制执行限制,并允许嵌入内容选择是否加载。

有关该提案的更多详细信息,请访问: https://github.com/WICG/connection-allowlists