Компания Google приняла решение удалить из браузерного движка Chromium компонентов для поддержки языка преобразования XML-документов XSLT. В качестве причины упоминается желание сократить поверхность атаки через прекращение использования библиотеки libxslt. По мнению Google поддержка XSLT 1.0 создаёт неоправданные риски безопасности так как в библиотеке libxslt периодически выявляют уязвимости (например, CVE-2025-7425 и CVE-2022-22834) и она имеет проблемы с сопровождением (с июня до сентября библиотека оставалась без сопровождения и исправления уязвимостей). Проекты Firefox и WebKit также рассматривают возможность удаления поддержки XSLT...Подробнее: https://www.opennet.dev/opennews/art.shtml?num=64194
А помните времена XHTML-бесия? Времена моды на строгие-строгие стандарты. А потом херакс, HTML5 и пошли все лесом-полем.
Людям, которые пришли зарабатывать на технологиях деньги, а не онанировать на них, это неинтересно.
Было мнение, что XHTML будет получше хотя бы потому что более предсказуем и парсится однозначно (а значит и быстрее). К несчастью победили вебманки, потому как чем больше лэндингов для продажи средств для увеличения/похудения/оздоровления за день набросаешь, тем быстрее насребёшь на свой дошик.Думаю, что если веб и должен оставаться текстовым (ну раз уж сервелат закопали, а wasm существует номинально), то всё равно нужно или другой язык, или вводить какие-то метки/карты/схемы, позволяющие парсить всё это добро в многопотоке. Хотя может для современного веба html – самая меньшая из всех проблем.
Тот, первый XHTML был шагом к предполагаемому XHTML 2, такой революцией от W3C с решением всех накопившихся проблем и переходом от исторически сложившегося локального для браузеров языка к обобщенному языку разметки документов.Разработчики браузеров на это посмотрели, поняли, что придется с нуля писать второй параллельный движок, послали W3C лесом и придумали HTML5.
Производители браузеров просто гребут рынок под себя.
Ну так а куда деваться? Современные браузеры сложнее операционной системы. А для реализации XHTML2 даже Chromium форкнуть не получится, если под рукой нет пары десятков опытных разработчиков и бюджета на них.
> Современные браузеры сложнее операционной системыРазве что той, что в 2кб памяти на микроконтроллере влазит. Так-то разработать современный браузер на своём движке и на коленке можно, см. ladybird.
Кстати, единственные из разработчиков браузеров, кто тогда участвовал в разработке XHTML2 - это Opera (тогда еще та, старая, на Presto). Единственные, кто был готов сделать по уму. Ну и где теперь они, эх
https://en.wikipedia.org/wiki/HTML5
> и прекратить использование libxslt и libxml2Но ведь в прошлой новости говорили что либы незаменимые???
И корпы еще пойдут на поклон к разрабу?
Как же так???> По статистике Google доля загруженных web-страниц, на которых
> используется XSLT, составляет 0.02%, а доля страниц, на которых
> применяются инструкции обработки XSLT, оценена в 0.001%.Пффф... оказалось, что они никому не нужно.
> Функциональность для разбора XML оставлена, но переведена на
> новую библиотеку, написанную на языке Rust с оглядкой на
> обеспечение безопасности.Ахахаха, т.е мяу))
Сейчас у всех остальных тоже будет отличный выбор:
- или использовать дыpявый сишный kал, который бросил разраб и подхватил какой-то мутный Иван из Чихуахуа
- или использовать современную надежную либо, которую мейнтейнит гугл.В общем ждем новый пригораний у представителей "сообщества")))
Сообщество скоро вообще этот ваш хром ледибердом заменит и заживет. Вместе с санитарами будет интернетом управлять.
> этот ваш хром ледибердом заменит и заживет.Зачем сообществу ледиберд? Или ледибой? Не сильно разбираюсь в сортах васянобраузеров.
Им хватит паленки, дилло или даже линкса.
Потому что раз опеннет открылся - то браузера достаточно.
Скрепно. Не надо нам ваших ледибоев - нам и дил..ло под палёнку зайдет! )
Надеюсь, зависимость от этой нововой моднявой библиотеки будет опциональной при сборке.
Копры не в курсе, что у них используется XSLT до того как момента как его отключат и начнутся миллионные убытки.
Интересно, полифилл как отнесётся к fb2, который вполне обрабатывается в cli через xsltproc?
Просто такие решения не входят в статистику, а значит не существуют.
Вообще, когда узнал, что для xlst в крупных коммерческих проектах используется какая-то не очень прямая библиотека (хотя довольно удобна) был очень удивлён.
Ээээ... а браузер для обработки fb2 вам накой?
Давно пора выкинуть этот хлам.
Давно пора всё выкинуть, оставить только рекламу и...эээ...
Столько лет забивали на новые версии стандарта и баги, а теперь пишут, что никому не надо. А кому надо, тех мы игнорим, потому что нам виднее.
> Столько лет забивали на новые версии стандарта и багиТак там вполне честный тег "needs implementer interest"
Гуглу оно не надо. Но что-то не видно очереди желающих это добавить.> А кому надо, тех мы игнорим, потому что нам виднее.
Потому что их полтора землекопа.
И тратить на них ресурсы для разработки и поддержки просто не рационально.
Не читал, но уже посчитал всех, какой молодец (нет)
За меня уже гугл посчитал
"По статистике Google доля загруженных web-страниц, на которых используется XSLT, составляет 0.02%, а доля страниц, на которых применяются инструкции обработки XSLT, оценена в 0.001%."
Если в XML понятно, как указать в XSD, что конкретное поле может принимать значения только от 20.0 до 89.9, то как это сделать в JSON? В итоге имеем кучу сервисов, базирующихся на XML/SOAP. Вот будет весело, когда, например, запросы к ГИС ЖКХ из JS перестанут поддерживаться Chromium.
Так же как в XSD указать что данные должны составлять полный граф или текст в теге <text> должен быть стихотворением, а в <data> - валидными сжатым xz json'ом. Данные должны валидироваться полноценный кодом на нормальных ЯП, а не этими схемо-обрубками, это вообще не собачье дело формата сериализации. И внезапно, с этим подходом оказывается что формат сериализации вообще значения не имеет и их можно менять их как перчатки, не переписывая никаких схем и не теряя в валидации.
Ты написал то, что до сих пор 95% РП и тех.архитекторов не в состоянии осмыслить и понять. Люди путают фундаментальное свойство формата сериализации и софт, который этот формат обрабатывает. Все ключевые достоинства обрабатывающего софта приписывают тестовому файлу XML/XSD, который сам по себе ничего не делает.
> Если в XML понятно, как указать в XSD, что конкретное поле может принимать значения только от 20.0 до 89.9, то как это сделать в JSON?Эээээ https://json-schema.org/draft/2020-12/json-schema-validation... так?
учи Open API, там всё это есть
Сделать свой формат поверх JSON. Будет несовместимо ни с чем, но это и не нужно, так как оно пишется на коленке за 5 минут. Если не хочется заниматься этим самостоятельно, то есть индусы и нейронки.Если очень хочется прям XML с этими вашими XSD и прочими SOAP, то можно в wasm запихнуть. Наверняка кто-то уже пошёл и сделал это всё за тебя.
Для жсона тоже есть валидаторы.
> Если в XML понятно, как указать в XSD, что конкретное поле может принимать значения только от 20.0 до 89.9, то как это сделать в JSON?А разве для json не существует валидаторов? по сути для XML тоже были придуманы стандарты как валидировать данные. Я не вижу никаких преград делать также. И даже уверен, что такие варианты уже существуют. Просто в том же вебе очень редко нужна валидация, которая отнимает время, но ничего особо ценного не приносит. Ну пришло поле не в int, а string. В худшем случае что-то упадёт или отобразится некорректно и это заметят и исправят, в лучшем - просто отобразится, ибо тому же JS начхать что там выводить (есть TypeScript, но его для браузера всё равно в JS преобразуют).
Всё связано. libxml2 поддерживается настолько насколько она нужна, а нужна она настолько насколько нужен xml, а он не нужен.Эх, сколько же раз за нулевые я написал здесь и на других форумах что xml - формат-выродок не годный ни для генерации, ни для чтения как машиной, так и человеком, и вся экосистема его трансформации и валидации - игрушки для поехавших. Оказался прав, как всегда.
> Эх, сколько же раз за нулевые я написал здесь и на других форумах что xml - формат-выродок не годный ни для генерации, ни для чтения как машиной, так и человеком, и вся экосистема его трансформации и валидации - игрушки для поехавших. Оказался прав, как всегда.Нет, его использовали и используют некоторые очень активно. Никакой json бы не заменил, банально из-за слабой поддрежки проверки схемы, остуствия пространств имен. xml вполне читабелен, хоть и многословен. Но перешли они все на ... protobuf)))
Меинтейнер libxml2 думал, что после его объявления к нему сразу очередь из корпов с чумаданами денег выстроится. А оно вон как оказалось, удар под дых от самого великого Гугеля, ещё и на расте. Дыряшечники начинают вымирать - и это прекрасно.
> Дыряшечники начинают вымирать - и это прекрасно.Рано радуешься.
Они еще годами буду использовать дырявый libxml2, потому что "ну ни можем мы затянуть еще одну зависимость! тут вот две некроплатформы из 80х, как же мы без них???"
> Дыряшечники начинают вымирать - и это прекрасно.Почему ты такой злой? Напоминает как рызные меньшинства обвиняют большинство. Кстати, надеюсь ты пишешь из под redox?
> Почему ты такой злой?У мне алергия на луддитов.
Особенно на тех, кто любит палки в колеса ставить.> Напоминает как рызные меньшинства обвиняют большинство.
А дыряшечники это большинство? Как там вам живется в 1980м?
> Кстати, надеюсь ты пишешь из под redox?
Пару патчей отправлял, но в целом нет.
Мне будет достаточно ядра линукс с растом, хрома с растом и тд
Злой не злой. Как это отменяет что большинство пороли. Ты с логикой дружишь двоечник?
Как тупых баранов. Значит они такие и есть
Исторические факты у неучей зависят от чьей-то злобы
> В качестве замены встроенной в браузер поддержки XSLT предлагается перенести обработку XSLTА думаете на стороне сервера будет не тот же самый libxml с теми же самыми уязвимостями?
Но вообще интересно, способен ли гугль написать самостоятельно библиотеку для работы с xml или же просто вычеркнет эту функцию без альтернатив.
Главное держать лицо. Это "не мы неосилили безопасный xml", а "xml никому не нужен".
Опять же, если гугл предлагает обрабатывать xml на javascript - пусть напишут хотя бы одну реализацию на javascript. Посмотрим насколько в ней ошибок меньше будет.
На стороне сервера может быть библиотека на раст, без уязвимостей)> Но вообще интересно, способен ли гугль написать самостоятельно библиотеку для работы с xml
Уверен что может.
Просто когда дев приходит к менеджеру со словами "тут нужно написать либу", тот первым делом спросит "а сколько пользователей заденет дроп?"> или же просто вычеркнет эту функцию без альтернатив.
Потому что горбатиться ради 0.001% готовы не все)
> Это "не мы неосилили безопасный xml", а "xml никому не нужен".Никто не осилил
На практике для xml много где нужен xmlcrypt для подписи, шифрования, и канонициализации, однако никто в здравом уме не будет давать юзеру простые апишки для такого, потому что миллиард футганов и никакие межязыковые и межбиблиотечные конверсии оно не переживает.А без этого даже SAML не реализовать
Скорее бы всё на jwe переехало
> Опять же, если гугл предлагает обрабатывать xml на javascript - пусть напишут хотя бы одну реализацию на javascript. Посмотрим насколько в ней ошибок меньше будет.Можно просто libxml собрать в WASM
Нучо икспёрды, что скажете?!
> В Chromium решено прекратить использование libxslt и libxml2Даже гугл, с их миллиардами не в состоянии исправить ЭТО.
> на новую библиотеку, написанную на языке Rust
Что будут делать растоненавистники?
В лисе раст уже есть, а тут и в хроме появится.
да, маленький нищий гугль никак не может взять на себя поддержку технологии, которую до него тянули миллионы энтузиастов-миллиардеров с 28 часами совершенно свободного времени в сутках.
(и уж тем более - показать им всем как надо, переписав за пару недель на безопастный язык)
Проще выбросить - подумаешь, "стандарт" какой-то там - гугль ваш новый стандарт!И этим, мурзиле передайте, что не будут как все - урежут финансирование!
А у кого сайт не открываетцо - сами виноваты, выбрали технологию которая сегодня с утра разонравилась хозяину интернета.
> да, маленький нищий гугль никак не может взять на себя поддержку технологии,Не может или не хочет?
> которую до него тянули миллионы энтузиастов-миллиардеров с 28 часами совершенно свободного времени в сутках.Ох уже эти ынтузиасты, что б мы делали без их кривых поделок и 10% кода в ядре!
> (и уж тем более - показать им всем как надо, переписав за пару недель на безопастный язык)
Ради 0.001%?
Пф, я думаю что девы, что менеджеры громко бы смеялись от такого предложения.> Проще выбросить - подумаешь, "стандарт" какой-то там - гугль ваш новый стандарт!
Да. Если ты первый, то остальные просто догоняющие.
> И этим, мурзиле передайте, что не будут как все - урежут финансирование!Так мурзила с яблоком тоже не против.
"Проекты Firefox и WebKit также рассматривают возможность удаления поддержки XSLT."
> А у кого сайт не открываетцо - сами виноваты, выбрали технологию котораяКоторой пользуется 0.001%
Примерно как открыть неимеющую аналОгов клинику по удалению гланд через aнyc, а потом удивляться что очереди не наблюдается.Ты у нас начал топить за всякие меньшинства извращенчиков?
Или "вы не понимаете это другое")))?
>> да, маленький нищий гугль никак не может взять на себя поддержку технологии,
> Не может или не хочет?ну пока оно на халявку было доступно - вполне хотел. Как и все остальные халявки что под себя подгреб и делиться с тобой, васян, кстати, не собирается. А тут выяснилось что халява все, боливар сдох. Джиан Тян быстро занявший еще неостывшее кресло - тебе понапишет.
> Ох уже эти ынтузиасты, что б мы делали без их кривых поделок
> и 10% кода в ядре!сидели б в винде. С ie. Потому ни ведра бы никакого не было, некуда было бы IBM заносить свои миллиарды, так и всовывала-высовывала бы aix86. Ни гугля, который все технологии для поисковика сцапал готовые, своего там если только сама идея пэйджа была, да и то сомнительно что это помогло. Скорее помогло что было у кого занять пару миллиардиков под честное-пречестное. Ни тем более хромога, это опять не их код. Вот так приглядишься - и выясняется что своего нет ровно ничего, сплошной цап-царап. А свои если и были, то лежат сейчас на кладбище гулопрожектов под толстым-толстым слоем бетона.
> Ради 0.001%?
а если еще пару нуликов добавить, то менеджеру еще больше понравится. Но зря стараешься, тебя туда в менеджеры не возьмут, там очередь из того же индусского поселка что самый главный. На пять перерождений вперед расписана.
> Так мурзила с яблоком тоже не против.
будешь против - отключат газ.
> да, маленький нищий гугль никак не может взять на себя поддержку технологии,
> которую до него тянули миллионы энтузиастов-миллиардеров с 28 часами совершенно свободного
> времени в сутках.
> (и уж тем более - показать им всем как надо, переписав за
> пару недель на безопастный язык)Они, помнится - башляли и целевым образом и через OSTIF - но там очередь та-аакая, что для важного-и-нужного дойдет вот "никогда". С чего бы это должно было поменяться - мне вот лично не понятно.
> Проще выбросить - подумаешь, "стандарт" какой-то там - гугль ваш новый стандарт!
> И этим, мурзиле передайте, что не будут как все - урежут финансирование!
> А у кого сайт не открываетцо - сами виноваты, выбрали технологию которая
> сегодня с утра разонравилась хозяину интернета.Ну вот от похорон флеша-с-сервелатом мир не рухнул, хотя казалось бы.
> В лисе раст уже естьКакой процент от всего кода?
11%
Столько же сколько например C, но меньше чем С++.
openhub.net/p/firefox/analyses/latest/languages_summaryИ судя по новости станет еще немного больше.
> Проекты Firefox и WebKit также рассматривают возможность удаления поддержки XSLT.Вот так хоба - и XSLT считай мертв.
Потому что никто не будет использовать технологию, которая не открывается в основных браузерах.
0,02% было "не достаточно мертв"?
Ага.
Пока топы их поддерживали, то можно было выпендриться и запилить свой единственный и неповторимый сайтец с использованием оной.
А теперь уже всё.
> 0,02% было "не достаточно мертв"?Когда у тебя миллиарды станиц, то эти 0,02% уже могут составлять сотни тысяч, что уже не мало.
>> 0,02% было "не достаточно мертв"?
> Когда у тебя миллиарды станиц, то эти 0,02% уже могут составлять сотни
> тысяч, что уже не мало.И среди них может оказаться одна или вот даже две - нужные. Да. У владельцев будет эээ... примерно год на переработку - а с учетом лайфсайкла LTS firefox'а - хорошо так побольше.
Проблема уровня выпиливания даже не ftp (Тот, предполагаю - использовался даже там, где хорошо-бы-не) а вот gofer'а из браузера.
> Когда у тебя миллиарды станиц, то эти 0,02% уже могут
> составлять сотни тысяч, что уже не мало.сотни тысяч станиц может наспамить один единственный сайт
но нужнее он от этого не станет
полагаю - это по результату анализа телеметрии благодарных пользователей, не заходящих ни на какие вообще сайты кроме "скачать фейсбук"
> полагаю - это по результату анализа телеметрии благодарных пользователей, не заходящих
> ни на какие вообще сайты кроме "скачать фейсбук"А других пользователей у нас для google'а - нет.
ну мне кажется гугл как раз немного в обратном должен бы быть заинтересован. Но по факту - нет.
Не, ну можно ж конечно "тугой струёй и против ветра" - но только за Очень Большие Деньги (Манифест v2 вот того) и не часто (А с новыми-луДшими-coockie-которые-не-cookie-для-вашей-приватности-деточка!) уже не прокатило.
А тут денег вот СТОЛЬКО, что аж СТОЛЬКО что всеми заинтересованными лицами на донат васяну не набралось.
... Компания Google приняла решение удалить из браузерного движка Chromium компонентов для поддержки языка преобразования XML-документовНе интересно.
Неужели, последствие этой новости: https://www.opennet.dev/opennews/art.shtml?num=63886
Кто-то удивительно настойчиво борется с XML технологиями. При этом нормальной алтернативы им так и не появилось. JSON убог и примитивен, в нём нет даже комментариев. JSON Schema до сих пор не доделана и уже больше 20 лет находится в состоянии драфта! Аналоги XSLT и XPath так же какие-то примитивные и недоделанные. Зато вовсю процветает JavaScript-говнокодие и липкая гадость, называемая node.js
> Кто-то удивительно настойчиво борется с XML технологиями.Где вы это увидели?
Гугл дропает поддержку XSLT, которого вы сами назвали "примитивным и недоделанным".
А поддержка XML как была, так и будет. Просто либу напишут не на дырявом языке, вот и все.
Удалите уже все. Оставьте wasm + canvas. Вы же этого хотите?
>задачи преобразования данных в HTML могут решаться более безопасно при помощи JavaScript API, таких как DOMParser и FetchЧто за бред я читаю?
>По статистике Google доля загруженных web-страниц, на которых используется XSLT, составляет 0.02%, а доля страниц, на которых применяются инструкции обработки XSLT, оценена в 0.001%.
Так этот самый Google их отказывался индексировать.
Давно пора
Подождите. Если каждая вкладка в Изолированном сэндбоксе и так - то какие уязвимости?Можно же конфиг под XSLT забацать так, что там изначально никакого доступа к критическому не будет.
Ну, ведь контейнеризацию вкладок для такого же продвигали, да?
Знаю места, где в офисном документообороте используется xml и его поддержка браузерами. Там будет весело.