@des 如果浏览器能做到足够安全的沙盒环境，把每个网站视作独立的本地应用来看待，不让网站有互相访问本地数据的可能性就可以防止这一点了，类似于 bilibili 客户端和手机银行客户端的关系，而不需要使用现在这个这么严格的同源策略，所以说目前的同源策略目的也不是为了防止这种问题。

这里说一下我的理解吧：

如果浏览器能像本地应用程序那样做好沙盒环境，保证一个网站无法读取到另一个网站的本地数据（包括 cookie 、localstorage 等等）的话，对于网站而言，这样的安全性已经足够了。但是网页和本地应用最大的区别是网页打开太方便了，导致用户受到的网络攻击的可能性远远高于本地应用，并且浏览器对自己采取的安全措施十分不放心，正如这个[回答]( https://stackoverflow.com/questions/29167428/same-origin-policy-and-cors-whats-the-point)中说的一样，浏览器的安全措施如果仅仅是刚好够用的话都已经不能满足 W3C 对安全的要求了

`This all shows that the security model of WWW is very subtle and not well thought of. It has evolved instead of being well-designed. `

如果允许网页无限制地访问非同源网站内容，那么浏览器潜在的漏洞导致的安全事故会极大地影响互联网的安全，除去可能存在的隐私泄漏问题，恶意网站还可能会让每一个访问它的用户为它打工，例如静默访问其他网站刷取点击量，或者成为 DDOS 的帮凶，因此 W3C 才选择了现在的这个极为严格的同源策略作为安全手段，就是为了尽可能减少安全问题。

@nuk 直接知道地址的话不用网页访问，直接 curl 命令访问也可以攻击呀

@Biwood 有点好奇具体的跨域攻击方式是什么，理论上隔离做得好的话，网页应用应该和本地应用拥有同等的安全性，为什么还要一个额外的限制，仅仅是因为网页打开太方便了吗？

@HelloAmadeus 我理解的跨域攻击场景就是我说的这种呀，还有其他形式的场景吗？

对米哈游印象不错，希望能捞一捞呀

深圳有哪些岗位？

@2435043xia 我试了一下，使用移动数据的话偶尔能连接上，如果连的是不同的 wifi 大概率连不上，不过对于我来说使用场景是足够了

@molvqingtai 应该是不行的，需要一个服务器做桥梁让双方互相通信一次才行

@im67 这样就需要用到服务器了，而且感觉有审查风险，目前就做一个私人交换 ID 互传文件的场景就行。

@pxiphx891 配色真的无能为力了😂只能随便拉几个颜色这样

@alexzsh 收到

@twinsdestiny 晚点加上

对了，GitHub 链接是这个 https://github.com/peek-transfer/peek-transfer.github.io ，欢迎各位在下面提提 issue 改进意见什么的，v 站上来看不太及时。

@pxiphx891 服务器只是起到一个拉线的作用，两个设备连接后就是直连了，不会再被服务器转发，所以局域网连接会比不同内网连接快

做这个的初衷是有时想和自己的朋友传一些比较私密的文件，担心上传到聊天服务器有风险，于是想着能不能用 webrtc 相关技术实现私下的点对点通信，发现 peerjs 还挺不错的，于是动手撸了一个页面出来。

@YuiTH 看 file picker 这个 app 的描述似乎可以支持 vscode 网页版在 iPad Safari 上使用，但是付费的我还没试过

感谢楼主，另外我看到有人用 extension 实现了 file access system api ，Stay 以后会考虑加入这个功能吗

用范型试试：

const useTool: <T extends keyof typeof tools>(
name: T,
...args: Parameters<typeof tools[T]>
) => unknown = () => {};