💡
原文中文，约4700字，阅读约需11分钟。
📝
内容提要
VSCode网页版存在安全漏洞，攻击者可通过恶意链接窃取用户的GitHub访问令牌。该漏洞利用Webview的键盘事件模拟机制，允许恶意代码伪造用户操作，安装恶意插件，访问私有代码。用户应避免点击不明链接，并清除浏览器的github.dev数据以保护自己。
🎯
关键要点
-
VSCode网页版存在安全漏洞，攻击者可通过恶意链接窃取用户的GitHub访问令牌。
-
漏洞利用Webview的键盘事件模拟机制，允许恶意代码伪造用户操作，安装恶意插件。
-
用户应避免点击不明链接，并清除浏览器的github.dev数据以保护自己。
-
VSCode网页版通过将github.com改为github.dev提供在线编辑功能，但存在安全隐患。
-
攻击者可以利用键盘事件模拟机制，绕过安全限制，安装恶意插件并窃取用户令牌。
-
VSCode团队已采取多项安全措施，但键盘快捷键的设计与用户体验之间的权衡导致了漏洞的存在。
-
作者选择公开漏洞以推动微软改进安全流程，并在公开前通知了GitHub安全团队。
❓
延伸问答
VSCode网页版的安全漏洞是如何被利用的？
攻击者通过构造恶意链接，利用Webview的键盘事件模拟机制，伪造用户操作，从而窃取GitHub访问令牌。
用户如何保护自己免受VSCode网页版漏洞的影响？
用户应避免点击不明链接，并清除浏览器的github.dev数据，以保护自己的GitHub访问令牌。
VSCode网页版与桌面版的安全漏洞有什么不同？
虽然两者都有漏洞，但桌面版的攻击更复杂，需要用户打开带有恶意代码的文件，而网页版则通过简单的链接即可被攻击。
VSCode团队对这个安全漏洞采取了哪些措施？
VSCode团队实施了多项安全措施，包括iframe隔离、严格的内容安全策略和输入过滤，但仍存在设计与用户体验之间的权衡。
为什么作者选择公开这个漏洞？
作者希望通过公开漏洞推动微软改进安全流程，并对之前未得到尊重的处理表示不满。
这个漏洞对GitHub用户的具体影响是什么？
漏洞允许攻击者读取用户所有的代码仓库，包括私有仓库，甚至可以修改代码，造成严重的安全隐患。
➡️
