[Announcements] 从备份恢复的用户建议清理自定义头部，Polyfill 脚本出现安全问题隐患

[XTsat]

最近 AdGuard 一直提示我有威胁的请求
我把所有存储和元信息都清除了发现还是有，最后发现在全局里面用的都是以前 Alist 的，不只是全局，有很多项目都有残留参数，都可以点击下面加载初始设置重置一下

[kkbt0]

看起来是写在代码里的
https://github.com/OpenListTeam/OpenList/blob/main/internal/bootstrap/data/setting.go#L168

[XTsat]

polyfill 的 js 本身不一定有问题

这里主要是提示很多备份的配置都从以前的项目带过来了，还是建议初始化一下设置，最初导入以前的备份还会把项目名称变成 alist 呢，这些可能有问题的以前的数据恢复一下初始化肯定是没什么问题，因为我再里面看到了其它以前带过来的东西

[kkbt0]

polyfill 的 js 本身不一定有问题

这里主要是提示很多备份的配置都从以前的项目带过来了，还是建议初始化一下设置，最初导入以前的备份还会把项目名称变成 alist 呢，这些可能有问题的以前的数据恢复一下初始化肯定是没什么问题，因为我再里面看到了其它以前带过来的东西

这个js前几天加head里会提示登陆，不登陆就401

[kkbt0]

我是报 401 把才来找 issues 的。才发现你说的设置。
然后也有相关新闻

• https://pasqualepillitteri.it/zh/news/4082/polyfill-io-samsung-smart-tv-tanchuang-jiejue
• https://github.com/inuEbisu/polyfill-io-mkdocs-warning

[XTsat]

我之前只以为是cdn劫持或者其它什么，居然是供应链投毒，那现在保留这个配置其实比较危险了，上面还提到现在的基础配置里面还有这个

看起来是写在代码里的 https://github.com/OpenListTeam/OpenList/blob/main/internal/bootstrap/data/setting.go#L168

[XTsat]

我本来之前去搜索这个 js 发现很多都在用，是个互联网基础服务，所以只是提示初始化配置去除以前的残留，结果 polyfill 似乎是被收购变成攻击者了吗

[kkbt0]

我本来之前去搜索这个 js 发现很多都在用，是个互联网基础服务，所以只是提示初始化配置去除以前的残留，结果 polyfill 似乎是被收购变成攻击者了吗

我也不太了解具体情况。投毒新闻是两年前的事了，最近401才凸现出来。我仔细看了眼，openlist 换了 cf 源看起来也2年了。大概只有以前的配置会有问题。

[jyxjjj]

新版浏览器可以直接去掉，没有任何意义 ƒ replaceAll() { [native code] } 参见此输出中 “native code” 字样

[HarryManHK]

我也出現了這個問題
把Customize head換成Cloudflare 的cdnjs就沒有了
<script src="https://cdnjs.cloudflare.com/polyfill/v3/polyfill.min.js?features=default"></script>