北京
Simon Willison在折腾Claude Artifacts的仿品时，发现了一个让安全工程师头皮发麻的细节。他原本只是想找个省事的办法，给沙箱iframe里的内容加CSP头，不用单独搞个域名托管文件。结果测着测着，摸到了浏览器的一个古怪脾气。
他在iframe内容顶部塞了个meta标签，写上Content-Security-Policy。按常理，这算"软规则"，后续加载的不可信JS应该能随便动它。但实测下来，浏览器认了死理——meta CSP一旦就位，后面再跑什么脚本都改不了它。Willison的原话是：「they'll be obeyed even if subsequent untrusted JavaScript tries to manipulate them」。
这相当于给iframe发了张"出生证"，上面的政策写死了就不能改。对想做Artifact克隆的开发者是好消息，对指望靠JS动态绕限制的攻击者来说，则是扇结实的门。
Willison把这个发现丢在了个人博客，没开评论区。他最近忙着另一件事：每月收10美元，给订阅者发一封"本月LLM重要进展"的精选邮件。付费换信息降噪——这生意比CSP实验实在多了。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
