安全沙箱机制——Stage 为什么不能偷走你的 API Key

iframe sandbox 架构

Stage 以 iframe 形式运行在沙箱中，Chub 文档明确列出了限制：

• 无法访问 Cookie 和 LocalStorage：Stage 拿不到你在 Chub 上的登录态、API Key、密码等
• 无法跨域：每个 Stage 运行在独立子域，互相无法访问
• 禁止 alert / confirm 等弹窗：防止 Stage 通过弹窗欺骗用户

Verified 标记

带有 "Verified" 标记的 Stage 已被平台开发团队检查过恶意行为。未标记的 Stage 虽然也运行在沙箱里，但仍有社会工程风险。

社会工程风险

沙箱隔离无法防止的唯一风险是社会工程：Stage 可能在 UI 里诱导你输入敏感信息（例如"请输入你的 OpenAI API Key 以激活 XX 功能"）。官方文档的硬规则：

Never provide any stage with your API keys or passwords to any site or service, including Chub itself.

安全使用建议

• 优先用 Verified 标记的 Stage
• 不要在 Stage 里输入任何密钥或密码
• 遇到需要登录或密钥的 Stage 直接跳过
• 共享的 Stage 链接如果看起来可疑，不要打开