直接在对话中使用交互式 Web 消息

TBetaLeak 频道发现在 macOS 版 Telegram 2.10.283300 版本中存在一个名为 HTMLBubbles 的大型实验性子系统。

根据描述，Telegram 正在测试一种直接在对话中使用 HTML、CSS 和 JavaScript 构建交互式消息的功能，无需打开独立的网页迷你 App 窗口。

@tginfo 编辑已根据初步检查确认该模块确实存在于这一版本的代码中，但其所描述的行为以及具体工作方式目前尚未得到独立验证。

这一功能的设想是将普通消息变成小组件，例如可以选择不同选项的商品卡片、交互式登机牌，或实时图表。

根据消息来源，内容渲染由轻量级的 litehtml 引擎负责，而脚本则运行在受到严格限制的沙箱中，包括 CPU 限制、禁止网络请求以及禁止使用外部媒体。这些限制的全部技术细节可以在来源帖子中查看。

编辑的担忧

尽管存在如此多的限制，@tginfo 编辑仍对这类功能提出严重的安全担忧。将支持 JavaScript 执行的 Web 引擎直接集成到对话界面中，即使运行环境受到严格限制，也会带来巨大的风险。

经验表明，无论开发者对环境进行多么彻底的隔离，渲染系统中仍会定期发现漏洞。鉴于仅仅查看对话内容就可能导致恶意代码运行，是否要为了这类小组件承担相应的风险值得商榷。

目前，HTMLBubbles 仍处于 Telegram 团队内部测试的早期实验阶段。这项功能在开发过程中可能发生较大变化，也可能被完全取消。

#macOS #beta