部落格 — GitHub.dev

AI觀點 GitHub.dev 網路安全 2026/06/03

解析 GitHub.dev 一鍵攻擊漏洞：如何透過 VS Code Web 擴充功能竊取 OAuth 權杖

此漏洞揭示了『便利性與安全性』在 Web IDE 設計上的極端失衡。我判定該漏洞屬於高風險等級，主因在於 OAuth 權杖的 Scope 過於寬泛且缺乏最小權限原則，加上 Webview 與主視窗交互機制被濫用，形成了完整的攻擊鏈。然而，其威脅僅限於瀏覽器環境，對桌面版無影響，這顯示出沙箱隔離機制在不同平台上的有效性差異。