Firefox 154 原生化布局，CodeQL 覆盖 Vue

过去 24 小时里，浏览器平台侧相对平静，最值得关注的是 Firefox 154 在 8 月 18 日落地，把一组布局、数据流、扩展沙箱和自动化测试能力一次性补齐；DevOps 与 AI 则继续沿着"把安全、治理与隐私做成默认能力"这条主线推进。把这六条放在一起，一个清晰的趋势是：平台在持续把过去需要团队自己兜底的边界——安全扫描覆盖、质量趋势追踪、数据保留隐私——逐步沉淀为开箱即用的默认路径。

今日概览

前端

前端今天的重点是 Firefox 154：在 Chrome 与 WebKit 本周缺少新鲜官方更新的情况下，这轮 Firefox 发布把多条开发者会实际用到的细节能力一次性补齐。 从 CSS 布局函数到迭代器 API，再到扩展沙箱与自动化测试协议，覆盖了前端、扩展作者与 QA 自动化三条工作流。

Firefox 154 于 8 月 18 日发布，为 CSS 与迭代器补齐了一组原生能力。 Mozilla 官方 Firefox 154.0 release notes 显示，Web 平台侧新增 sibling-count() / sibling-index() CSS 函数，让元素可以基于自身在兄弟节点中的位置与总数参与样式计算；同时加入 text-box-trim、text-box-edge、text-box 属性，用于精确裁剪文本块上下多余的空间。JavaScript 侧，Iterator.prototype 新增 includes()、join()、chunks() 与 windows()，可以不先转数组就完成包含判断、拼接与按块 / 按窗口切分。此外，HTTP 磁盘缓存开始支持 No-Vary-Search 响应头，让服务器声明哪些查询参数不影响响应、从而跨参数复用缓存；用户侧还新增了 Local Network Access 对 WebSocket 连接的权限提示，网页要访问局域网内设备时需先获得授权。对前端团队来说，这轮更新的意义在于：过去常靠 CSS 预处理或手写 JS 兜底的常见需求正逐步原生化，减少依赖的同时也抬高跨浏览器一致的底座。来源

Firefox 154 同时补强了扩展沙箱与 WebDriver BiDi 自动化协议。 根据 MDN 官方 Firefox 154 release notes for developers，扩展现在支持 sandbox manifest key，可以把特定页面声明为以 opaque origin 加载、不直接暴露扩展 API 的沙箱页面，从而在不放松扩展内容安全策略的前提下使用 eval() 等原本被禁止的构造；WebDriver BiDi 侧则实现了 browsingContext.startScreencast / stopScreencast，可把浏览上下文录制为视频文件，并在多个事件 / 命令的负载中加入 userContext（Firefox container）字段，方便按容器过滤事件。对需要做扩展安全隔离或浏览器自动化测试的团队来说，这两处意味着沙箱隔离与录制调试能力都前移到了平台层，不必各自造轮子。来源

DevOps

DevOps 今天的主线，是 GitHub 把安全扫描与质量治理从"单点能力"推进到"覆盖真实技术栈 + 跨时间趋势"。 一条落在静态分析引擎对现代前端框架与 CI 工作流的覆盖，一条落在组织级代码质量看板的时间维度，两条合起来指向同一件事：让安全与质量治理更贴近团队实际怎么开发、怎么演进。

CodeQL 2.26.3 把静态分析覆盖推进到 Vue 与 GitHub Actions 工作流。 GitHub 于 8 月 19 日发布 CodeQL 2.26.3。官方 changelog 显示，JavaScript / TypeScript 侧新增了 Vue Composition API（ref、shallowRef、toRef、reactive、computed）的流模型，并把 Vue Router 的 useRoute() 识别为客户端远程流来源（含 query、params、path 等成员）；自定义模型还能用 file:<path> 形式的包名直接引用某个文件的公开导出，把 source / sink 定义精确到文件级。GitHub Actions 侧，分析开始识别 github.event.merge_group 中的不可信数据，并移除了不可靠的 SelfHostedQuery 模块（breaking change）；同时修正了 output-clobbering、cache-poisoning、untrusted-checkout 等查询的准确性与告警可读性。对把 CI 里的代码扫描作为第一道安全门禁的团队来说，这条更新的意义在于：静态分析终于开始覆盖到 Vue 这类主流框架的具体数据流，而不是只对通用 JS 做泛化建模。来源

GitHub 组织级 Code Quality 看板新增 Trends 标签页，把代码质量从快照变成趋势。 GitHub 同日发布 Track organization code quality trends。官方 changelog 显示，新的 Trends 标签页会用趋势图绘制 7 / 14 / 30 天窗口内开放 findings 的变化，可按健康分或严重度分组，并给出当前开放 findings 总数与区间净变化；配套的两张表会按 findings 变化量对仓库排序，直接标出"进步最快"与"需要支持"的仓库，且图表和表格都会遵循页面顶部的仓库筛选。该能力对 GitHub Enterprise Cloud 与 Team 计划（启用 Code Quality）以及 Enterprise Cloud with data residency 的客户正式可用，但不覆盖 GitHub Enterprise Server。对工程管理 / FinOps 视角来说，这条更新的价值在于：代码质量不再只是一张"现在的体检单"，而是一段可以追踪改善或退化的趋势线，让治理动作有据可依。来源

AI

AI 今天的主线，是隐私与模型经济学同时向前一步：一面把"零数据保留"升级成不接触客户内容的架构级安全处理，一面让模型降价红利落到"人人可用"的产品入口。 这两条分别回答了企业客户最关心的数据边界问题，与开发者最关心的成本准入问题。

OpenAI 重申前沿模型零数据保留，并预览"私有安全处理"架构。 OpenAI 于 8 月 19 日发布 Offering Zero Data Retention for frontier models。官方正文显示，OpenAI 将继续为符合条件的 API 客户提供 Zero Data Retention，并预览 Private Safety Processing：它把已有的自动化安全保护从"逐条交互评估"扩展到"跨相关交互识别风险模式"，且不把底层客户内容暴露给 OpenAI 员工。具体做法上，无论客户内容存放在客户自控的基础设施（ZDR 部署）还是 OpenAI 提供的存储，后者都会用客户控制的密钥加密，OpenAI 员工不持有密钥副本，因此只能看到告警的类别与严重度，而看不到内容本身。对在受监管行业落地前沿模型的团队来说，这条更新的意义在于：安全评估与数据隐私不再是非此即彼的取舍，而是被收进同一套可审计的架构里。来源

Replit 上线 Free Mode，用 GPT-5.6 Luna 把"无 token 成本"变成默认入口。 OpenAI 于 8 月 19 日发布 Replit expands access to software creation with GPT-5.6 Luna。官方正文显示，Replit 推出由 GPT-5.6 Luna 驱动的 Free Mode，让日常任务不再消耗 credits，从而把"把想法变成能跑的软件"从成本焦虑中解放出来；Replit 官方博客进一步说明，Free Mode 让用户在同等月费下可"多创建最多 30 倍"。这条更新本身不是模型能力发布，但它清楚展示了 GPT-5.6 系列降价与性能比改善之后，模型经济学红利开始从 API 价格传导到终端产品：软件创建的准入门槛正在从"一小群专家"扩展到"任何有想法和网络的人"。来源

今日观察

今天这六条消息放在一起看，一条清晰的主线是：平台都在把"过去靠团队经验兜底"的部分，改造成"默认就更稳"的系统能力。Firefox 把布局与数据流细节原生化，GitHub 让安全扫描跟上真实技术栈、让质量治理拥有时间维度，OpenAI 则把数据隐私与模型经济学分别落到架构层和产品入口。接下来真正拉开差距的，往往不是谁先看到这些更新，而是谁先把这些默认能力写进自己的工程、审查与发布流程里。

简讯

• 前端：Firefox 154 落地，新增 sibling-count() / sibling-index() 等 CSS 函数、Iterator 系列方法与 No-Vary-Search 缓存支持，并为扩展补上 sandbox 沙箱与 WebDriver BiDi 录屏能力。
• DevOps：CodeQL 2.26.3 把静态分析覆盖推进到 Vue 与 GitHub Actions 工作流，GitHub 组织级 Code Quality 看板则新增 Trends 标签页，把代码质量从快照变成可追踪的趋势。
• AI：OpenAI 重申前沿模型零数据保留并预览"私有安全处理"架构，同时 Replit 用 GPT-5.6 Luna 上线 Free Mode，把模型降价红利落到无 token 成本的软件创建入口。