docs: update draft

Former-commit-id: b30f67f4d3f68ca0b85caf0c61a7d677196905e6

1 files changed, 22 insertions, 1 deletions

diff --git a/content/_drafts/55.md b/content/_drafts/55.md
index 85527e77..8203e9d7 100644
--- a/content/_drafts/55.md
+++ b/content/_drafts/55.md
@@ -14,9 +14,30 @@ toc: true
 
 ## ⋈︎ · 连接
 
-### 
+### FFmpeg 对 Google：捐钱，不然别给我们送 Bug 了
+
+> [!note] 📜
+> [FFmpeg to Google: Fund Us or Stop Sending Bugs - The New Stack](https://thenewstack.io/ffmpeg-to-google-fund-us-or-stop-sending-bugs/)
+
+……
 
 ## ⁂ · 星群
+
+### XLST RIP
+
+Google 即将在 Chromium 中移除 XSLT（将 XML 转换为其他格式显示的技术，被用在许多政府网站和一些 RSS 订阅源中），相关代码将在 2026 年 11 月完全废除，他们称此举是为了创造一个「更安全的浏览器」，并且 Mozilla 和 Apple 也将跟随 Google 的决定——Google 的一个决定就可以改变全世界的 Web 体验！Google 这边的说法是：
+
+> The continued inclusion of XSLT 1.0 in web browsers presents a significant and unnecessary security risk. The underlying libraries that process these transformations, such as libxslt (used by Chromium browsers), are complex, aging C/C++ codebases. This type of code is notoriously susceptible to memory safety vulnerabilities like buffer overflows, which can lead to arbitrary code execution. For example, security audits and bug trackers have repeatedly identified high-severity vulnerabilities in these parsers (e.g., CVE-2025-7425 and CVE-2022-22834, both in libxslt). Because client-side XSLT is now a niche, rarely-used feature, these libraries receive far less maintenance and security scrutiny than core JavaScript engines, yet they represent a direct, potent attack surface for processing untrusted web content. Indeed, XSLT is the source of several recent high-profile security exploits that continue to put browser users at risk. The security risks of maintaining this brittle, legacy functionality far outweighs its limited modern utility.
+
+大意是，XSLT 的底层库已经很老了，是很复杂、维护起来很困难且有很多安全风险的 C/C++ 代码库，这类代码往往有缓冲区溢出的问题，可能会被利用执行恶意代码。又考虑到，XSLT 在目前的 Web 环境中已经很少使用了，更现代的做法是使用 JSON 而不是 XML，也不会直接转换数据文件本身，通常会用获取并解析 JSON 数据的方式通过 JavaScript 展示。这么看，其实移除老旧，还有安全风险的技术而不是重写，是比较方便的做法。
+
+另一边，XLST RIP 这个网站的作者声称，自 Google 移除 RSS 阅读器 Google Reader 以来，他们又杀死了近 300 项技术，几乎可以肯定 Google 厌恶 XML 和 RSS。作者呼吁所有人在自己的网站上添加XSLT，不要让 Google 轻易地又杀死一项技术。这个网站的作者认为，目前还没有 XLST 用户被黑的案例，Google 说什么安全风险是在把用户当猴耍。在我看来，Google 不一定邪恶，但在某种程度上说得上是很烂，因为他们完全可以把实现 XLST 的底层库用更安全的方式重写一遍——不过指望他们这么做大概是不可能的，毕竟[他们一直给开源库反馈 Bug 却从没想过捐钱或者自己修](https://thenewstack.io/ffmpeg-to-google-fund-us-or-stop-sending-bugs/)。
+
+我的 [RSS 源](/index.xml)也使用了 XLST，我是不希望这个技术消失的。
+
+访问：[XSLT.RIP - Google are killing XSLT!](https://xslt.rip/)
+
+访问：[Removing XSLT for a more secure browser  \|  Web Platform  \|  Chrome for Developers](https://developer.chrome.com/docs/web-platform/deprecating-xslt)
 ## ↯ · 当下
 
 ### 开发 wthis、学习 Go 语言