就像那高达数百万人次的开发者群体都面临着PDF对象注入的潜在危险，大家都得提高警惕。虽说现在的Web开发里，jsPDF库凭借着简便的PDF生成能力让大家都很喜欢，可最近曝光的那个CVE-2026-25755安全漏洞却敲响了大家的警钟。这漏洞到底有多厉害呢？能让恶意攻击者通过PDF对象注入，轻轻松松就把任何操作或者对象塞到生成的文档里去。这事儿的根源在于jsPDF库里的java.js文件对用户输入管得不严，特别是在addJS方法里，直接把未经处理的输入接到PDF流上，连该转义的右括号都没处理。坏人们就能借此动手脚，比如打一个包含>>/Action…的有效载荷，硬生生截断本来的/JS字符串，再塞进去其他的PDF结构，这样就能完全控制那个嵌入的对象了。 据搞安全研究的ZeroXJacks观察，坏人们能让文档一打开就触发他们设定好的动作。哪怕Java被关掉了也照样能害人。这跟以前那种靠Java搞的XSS不一样，这次是直接乱动PDF的内部结构，这就更让人防不胜防了。 这个漏洞的危害可不小，它不光能绕过Java的限制，让像/OpenAction这种操作在没开Java的时候也能偷偷运行起来；还能让坏人随便篡改、加密或者修改PDF里的/Annots或者/Signatures部分，伪造元数据甚至搞钓鱼；连那些用得比较简单的轻量级PDF查看器也逃不掉，因为它们在解析的时候必须严格遵守PDF对象的规则。 开发者们最好赶紧升级到jsPDF 4.1.0或者更高的版本来补上这个漏洞。新版本已经通过给输入做适当的转义把这个隐患给堵死了。要是还没升级呢？那就尽量别用addJS这类方法去加那些用户发过来的内容，并且一定要对输入严加验证。 总之呢，jsPDF这次出的事再次提醒我们：技术发展得越快，安全问题也就越突出。大家在图省事的时候可千万别忘了风险还在暗处藏着。只有把代码的安全性抓牢了，才能算是真正保护了用户也保护了自己。