**直接在对话中使用交互式 Web 消息**

TBetaLeak 频道[发现](https://t.me/TBetaLeak/43)在 **macOS 版** **Telegram **2.10.283300 版本中存在一个名为 HTMLBubbles 的大型实验性子系统。

根据描述，Telegram 正在测试一种直接在对话中使用 HTML、CSS 和 JavaScript 构建交互式消息的功能，无需打开独立的网页迷你 App 窗口。

[@tginfo](https://t.me/tginfocn) 编辑已根据初步检查确认该模块确实存在于这一版本的代码中，但其所描述的行为以及具体工作方式目前尚未得到独立验证。

这一功能的设想是将普通消息变成小组件，例如可以选择不同选项的商品卡片、交互式登机牌，或实时图表。

根据消息来源，内容渲染由轻量级的 litehtml 引擎负责，而脚本则运行在受到严格限制的沙箱中，包括 CPU 限制、禁止网络请求以及禁止使用外部媒体。这些限制的全部技术细节可以在来源[帖子](https://t.me/TBetaLeak/43)中查看。

**编辑的担忧**

尽管存在如此多的限制，[@tginfo](https://t.me/tginfocn) 编辑仍对这类功能提出**严重的安全担忧**。将支持 JavaScript 执行的 Web 引擎直接集成到对话界面中，即使运行环境受到严格限制，也会带来巨大的风险。

经验表明，无论开发者对环境进行多么彻底的隔离，渲染系统中仍会定期发现漏洞。鉴于仅仅查看对话内容就可能导致恶意代码运行，是否要为了这类小组件承担相应的风险值得商榷。

目前，HTMLBubbles 仍处于 Telegram 团队内部测试的早期实验阶段。这项功能在开发过程中可能发生较大变化，也可能被完全取消。

[#macOS](?q=%23macOS) [#beta](?q=%23beta)