网站滥发浏览器通知弹窗，谷歌出手整治
随着人工智能的走红，浏览器重新获得关注。由于网页的高效与便捷，大量AI开发者选择通过网页形式发布产品。随着浏览器再度流行，它又成为灰色产业的目标。许多用户在使用浏览器时，常会在屏幕右下角或右上角看到频繁弹出的各类广告。
这是因为部分不良网站向浏览器申请通知权限，浏览器会询问用户是否允许，而网站则要求用户点击允许，否则不提供服务。一旦用户点击允许，网站便获得了通知权限。即使关闭相关网页，这些不良网站仍能在后台推送广告。
为了提升用户的上网体验，全球最大的浏览器厂商谷歌采取了行动。针对网站滥用推送通知的问题，谷歌改进了防御机制。现在，被Chrome判定为滥用浏览器通知的网站，其通知发送数量将被限制为每分钟1000条消息。超过阈值后，网站会收到HTTP 429响应，即浏览器将限制其流量。
有人可能认为每分钟1000条消息的限制是形式主义。实际上，谷歌限制的是网站通过FCM跨平台消息推送服务向所有用户推送消息。例如，如果一个网站同时有100名访客，在新规实施后，每位访客平均每分钟最多只能收到10条通知。
谷歌对浏览器通知的改进不止于此。早在2023年，他们就在Chrome中引入了“安全检查”功能。当某个网站发送过多通知且用户没有互动时，Chrome会自动弹出警告，提示“发现某网站推送大量通知”。随后在2024年，谷歌又为Chrome增加了新选项，允许用户一键退订不想接收的网站通知。
那么，谷歌为何紧盯浏览器通知？除了滥用通知影响用户体验外，浏览器通知一直是恶意网页的重要入口。
与手机系统通知不同，浏览器的“通知权限”有其特殊性。当用户允许某个网站发送通知时，网站会通过JavaScript代码调用Notification.requestPermission()，浏览器会向推送服务（如谷歌FCM、苹果APNs）注册唯一端点，并生成一对公钥/私钥用于消息加密。
从某种意义上说，用户点击允许通知时，相当于向相关网站发送了“电话号码”。即使后来关闭了页面，网站仍能通过这个“电话号码”推送骚扰信息。网站之所以能实现这一点，谷歌需承担主要责任，因为他们设计的Service Worker让Web开发者能够影响用户的离线体验。
Service Worker是浏览器在后台独立于网页运行的脚本。即使浏览器被关闭，它仍能在后台活跃，定期向网站服务器发送请求、拉取内容、触发通知、执行跟踪脚本，甚至上传用户设备信息。
基于Service Worker，只要用户曾点击允许通知，即使网页被关闭，浏览器仍可能不断显示“账号异常”“有新消息”等内容。黑灰产只需更换通知页面的链接，就能轻松将用户引入钓鱼页面。
这类网络钓鱼确实难以防范，但效率不高，用户中招的概率较小。真正让谷歌无法忍受的是，浏览器通知被滥用导致用户设备变卡、续航能力下降。因为网站滥用通知必然导致Service Worker在后台持续运行，每次联网都会唤醒设备的通信模块和CPU。
许多用户发现手机耗电变快、流量消耗增加时，打开“应用耗电排行”往往看到浏览器占据了电量消耗的一半以上，而自己并未使用浏览器。这其实是有网站滥用通知，导致设备资源被白白浪费。
简而言之，清空浏览记录、关闭页面并不代表万事大吉。类似浏览器通知的功能可能成为隐藏的风险。然而，浏览器通知和Service Worker是Chrome作为现代浏览器的基石，谷歌无法一刀切。因此，他们目前的策略是“流量控制”，不是禁止网站发送通知，而是降低其意义。如果网站每分钟只能向用户发送不到一条通知，这个功能也就名存实亡了。
【本文图片来自网络】
本文来自微信公众号 “三易生活”（ID：IT-3eLife），作者：三易菌，36氪经授权发布。通过开云网页版，用户可获取更多相关资讯。
