Chrome מבטל את תמיכת XSLT בשל בעיות אבטחה עד נובמבר 2026

Chrome מבטלת את התמיכה ב-XSLT מטעמי אבטחה

Chrome מתכננת להכריז על XSLT כמיושנת ולהסיר אותה מהדפדפן; התמיכה תיפסק בגרסה 158, ב-17 בנובמבר 2026. זה נוגע גם ל-XSLTProcessor JavaScript API, וגם להוראות עיבוד של XSLT. Firefox ו-WebKit גם הכריזו שהם מתכננים להסיר את XSLT ממנועי הדפדפנים שלהם.

Chrome 143 מציג אזהרות ישנות החל מדצמבר 2025, ואילו מהדורות Canary, Dev ו-Beta מכבות את XSLT כברירת מחדל החל מ-Chrome 145. Enterprise Policy ו-Origin Trial מאפשרים להמשיך להשתמש גם לאחר מועד ההסרה ועד ל-Chrome 176, באוגוסט 2027.

למה XSLT מבוטלת

ספריות המשמשות כבסיס לעיבוד טרנספורמציות XSLT, כמו libxslt שבה משתמש Chromium, הן בסיסי קוד C/C++ מורכבים ומיושנים, שרגישים לפגמי אבטחת זיכרון. ביקורות אבטחה גילו מספר פעמים פגמים בעלי חומרה גבוהה במפרסים האלה. מכיוון שצד הלקוח כמעט לא משתמש ב-XSLT כיום, ספריות אלה מטופלות פחות ונבדקות פחות מבחינת אבטחה מאשר מנועי JavaScript מרכזיים.

כיום רק בערך 0,02% מטעינות הדפים באתרים משתמשות ב-XSLT, ופחות מ-0,001% משתמשות בהוראות עיבוד XSLT. פיתוח אינטרנט מודרני מסתמך על Fetch API ו-DOMParser API כדי לעבד נתונים בבטחה בארגז החול של הדפדפן, ועל מסגרות כמו React, Vue ו-Svelte.

דרכי מיגרציה

קיימות מספר דרכי מיגרציה. אתרים יכולים להעביר את עיבוד ה-XSLT לשרת ולשלוח ללקוח HTML כבר מעובד, או להעביר נקודות קצה של XML API ל-JSON ולעבד בצד הלקוח עם JavaScript. הספריית Saxonica מספקת תמיכה מלאה ב-XSLT בצד הלקוח, כולל תקן v3.0.

עבור המחלקה XSLTProcessor זמין polyfill מבוסס WASM ב-GitHub, שמאפשר לקוד JavaScript קיים להמשיך לעבוד. כמו כן זמינה הרחבה ל-Chrome שמפעילה polyfill בכל עמוד XML שטרם עובד ומכיל הוראות עיבוד של XSLT; זה מתאים ליישומים שבהם אי אפשר להחליף את המקור.

מקורות: Chrome for Developers