Chrome 154 发布：默认提示 HTTP 风险，修复 108 项安全问题

Chrome 154 正式发布！本次更新一共修复了 108 项安全问题，其中 11 项被列为严重级别。新版本默认会在连接不安全的 HTTP 网站时发出提示，企业管理员可以通过HttpsOnlyMode策略来管理这一默认行为。

Chrome 154 主要更新

访问 HTTP 网站时默认弹出提醒

从 Chrome 154 开始，浏览器默认会在用户连接不安全的 HTTP 网站时发出提示。企业管理员可以通过HttpsOnlyMode策略管理这一默认行为。

CSS 滚动标记增加选项卡模式

scroll-marker-group现在提供了links和tabs两种模式：

• 默认的links模式会把滚动标记作为普通链接，标记会逐个进入「Tab 键」焦点顺序。
• tabs模式会按选项卡组织标记，只让当前选项卡参与「Tab 键」导航，其他选项卡可以使用「方向键」切换。

新增的text-decoration-inset属性可以调整下划线、上划线和删除线相对文字两端的位置，支持长度和百分比，也可以分别设置起点和终点。FontFace.width和@font-face的font-width描述符则作为现有stretch和font-stretch的别名提供，CSS Typed OM 的相关构造函数也扩展到了 Worker 环境。

弹窗关闭与嵌入页面布局改进

弹出框和对话框的点击外部关闭行为，改成了依据click事件触发，不再组合pointerdown、pointerup事件。因此，触屏滚动手势和右键点击不会再意外关闭弹窗。网页还可以主动启用响应式<iframe>尺寸，让嵌入框随内部文档的布局尺寸调整，减少嵌入页面自身出现滚动条的情况，但这并非所有<iframe>的默认行为。

JavaScript 与 WebSocket 更新

Iterator.prototype.includes()进入 Chrome 154，可以像数组的includes()一样，检查迭代器是否产生指定值。WebSocket构造函数的第二个参数也支持选项对象，其中protocols可用于指定子协议，后续还可以扩展更多选项。

新的targetAddressSpace选项可以为 WebSocket 连接声明目标属于local或loopback地址空间。对解析到本地 IP 的主机名，只有用户授予本地网络访问权限等条件满足后，连接未启用加密的本地 WebSocket 服务才可以绕过混合内容限制（不能把它理解成网页可以无条件访问局域网）。

后台抓取收紧跨域与本地网络检查

Background Fetch 现在会执行跨源资源共享（CORS）检查，不再允许请求绕开普通fetch()所受的跨域限制。后台请求在访问局域网或本机服务时，对应 Service Worker 的来源也需要具备本地网络访问权限。依赖后台下载资源的 Web 应用，尤其要检查跨域响应与本地设备通信是否符合新要求。

ChromeOS 隔离式 Web 应用获得异形窗口能力

在 ChromeOS 上，获得许可名单授权的隔离式 Web 应用，可以使用window.setShape()设置非矩形窗口形状，但窗口必须采用unframed显示模式，并取得window-management权限。

Chrome 154 安全修复

Chrome 154 一共修复了 108 项安全问题。在官方公开的漏洞清单中，有 11 个属于严重级别，分布在 ANGLE、GPU、WebGL、ServiceWorker、全屏模式、窗口对话框和广告过滤等组件。此外，高危问题还涉及扩展程序授权、PDFium、V8 和视频等组件，建议尽快升级浏览器。