你页面里跑的 AI 代码，可能正在往外传数据！Chrome 152 上线 Connection-Allowlist 响应头

大白话现在的网页不只跑你自己写的代码，还跑第三方脚本、AI 生成的界面，甚至用户自己敲进去的代码。这些代码一旦想把数据发到陌生服务器，浏览器基本不会拦。Chrome 152 加了一个叫 Connection-Allowlist 的响应头，思路是「默认全禁」：页面只能连白名单里的地址，不匹配就在网络层直接掐断，而不是在 JavaScript 层拦——后者容易被绕。

对你意味着做 AI 编程工具、跑用户代码沙箱、或者页面里塞了一堆第三方脚本的开发者，这层墙能兜底；但只对 Chrome 152 以上生效，还得服务端主动发头。