谷歌 Chrome 94 新 API 引争议，苹果和 Mozilla 联合反对

[leafre]

9 月 24 日消息 谷歌 Chrome 94 浏览器于近日发布，带来了多个新 API 。然而，其中一个 API 受到了苹果和 Mozilla 的联合反对。

出现争议的 API 名叫 Idle Detection API，该 API 可以检测用户是否处于空闲状态，如果用户没有与键盘、鼠标、屏幕交互，且电脑没有开启屏幕保护程序、锁定等，该 API 将会通知开发人员。

然而，苹果和 Mozilla 都表示该 API 存在监控用户的嫌疑，甚至还有更大的风险。

苹果认为：

我们担忧的不仅限于隐私问题，该 API 的另一个明显的问题就是可以让网站观察一个人是否在设备附近，从而在用户不注意的情况下偷偷挖矿或者部署恶意软件等。

Mozilla 认为：

按照目前的规范，我们认为该 API 将帮助网站监视用户，可被用于侵犯用户隐私、长期记录用户行为。

该 API 已出现在 Chrome 94 中，采用最新 Chromium 内核的浏览器也可以使用该 API 。

[TomatoYuyuko]

v2 大部分都是开发者，现在面对新技术都已经这么“感性化”了吗

[marczhao]

看了一下，是 ask to know if 。
也就是说，会跳出来个框问用户是否允许权限。
这么看来好像还行，不是很恶心。

[Zeonjl]

google 赶脚已经走上不归路了

[docx]

@cairnechen #2 b 站那个好像是判断窗口是否在前台，而且触发机制很迷，多数情况后台播放着干别的事情也没触发

[mascteen]

@whitedroa 你又是什么 sb，锤子菜刀铁瞅能杀人难道就不应该被发明出来

[mascteen]

Chrome 这么做我能想到是想把 chrome 上升到系统级，在 chrome 上的 app 可以拿到系统级 api

[ReferenceE]

上网课的学生正好可以准备 痛苦面具 了，哈哈哈哈哈哈哈哈(

[whitedroa]

@mascteen 这两种事物发明出来的作用完全不一样，发明锤子菜刀的目的是为了提高生产力，但是这种 api 发明的目的就是为了监视用户，而且几乎可以百分百确认可以被网站用来监视用户啊

[pkoukk]

@Cavolo ???edge 现在用的就是 Chromium 内核啊，和 chrome 只是 ui 不一样，有什么谁比谁良心一说呢

[wszgrcy]

所以说可以直接加载挖矿脚本了?只要空闲自动挖矿?

[HongJay]

@Tink #8 你这明显带点利益相关了啊

[Cavolo]

@pkoukk 微软加壳后急着搞一堆自己的东西，不忘给你塞点广告

[agagega]

Slack 好像很久以前就有这个功能了（检测你有没有活动），是通过这个 API 实现的吗？

[otakustay]

我们现在是自己实现了一套逻辑（监听鼠标、键盘、focus 、blue 等一堆东西）来判断的，作用就是定时轮询的频率可以闲时降下来
所以这种东西，无论你有没有，真有需要的自己也会上，反而浪费你的机器性能

[flyhaozi]

@Z1on 写了个在允许了权限的情况下，绕过 Idle Detection 的脚本，就，写得很简单
不知道有啥网站用了这个 API，就现在来讲也没有装的必要😂
https://greasyfork.org/zh-CN/scripts/432878-idle-detection-bypasser

[shuxiao9058]

转 Firefox

[hanguokai]

桌面的原生应用都有这个能力，只是过去 Web 没有（过去最多只能在自己的标签内对鼠标键盘做检测）。
这个功能有正当的使用用例，比如过去 QQ 和其它 IM 客户端有个功能：当用户空闲的时候设置为“离开”状态。

可以先参考相关讨论：
https://groups.google.com/a/chromium.org/g/blink-dev/c/ZmHHfrR_jak
https://github.com/WICG/idle-detection
https://web.dev/idle-detection/

Chrome 扩展也有类似功能的 API （且不需要授权） https://developer.chrome.com/docs/extensions/reference/idle/

[LigeLaige]

https://chromium.googlesource.com/chromium/src/+/refs/heads/main/content/browser/idle/idle_polling_service.cc#91

[autoxbc]

@hanguokai #37 用户和任何一个最危险的网页之间只隔着一个点击，这和有人审计的扩展，和必须主动安装的原生都相去甚远，拿来类比并不合适

引入一个映射整个文件树到 BOM 的 API 是否合理？我看能举出不少正当的使用用例

[hanguokai]

@autoxbc > 用户和任何一个最危险的网页之间只隔着一个点击。

这个 API 在打开网页之后需要先授权才能使用的，和摄像头、地理位置 API 类似。并不是默认可用，用户可以拒绝、也可以取消授权。