Edge tắt XSLT mặc định: doanh nghiệp cần rà soát ứng dụng cũ

Người dùng phổ thông gần như không cần để ý chuyện này. Nhưng với bộ phận IT, thông báo này đáng đưa vào lịch làm việc ngay bây giờ, vì mốc tắt mặc định đã được ấn định và chỉ còn vài tháng.

Edge chỉ bỏ bộ xử lý XSLT, không bỏ XML

Tiêu đề nghe như Edge bỏ luôn XML, nhưng phạm vi hẹp hơn nhiều. Microsoft liệt kê đúng hai thứ bị tắt: API JavaScript XSLTProcessor và chỉ thị xử lý XML trỏ tới một stylesheet XSL. Chỉ thị trỏ tới stylesheet CSS không bị ảnh hưởng, và việc đọc XML thuần vẫn như cũ.

Chỗ dễ vỡ nằm ở một kịch bản quen thuộc: tệp XML mở thẳng trên trình duyệt, nhờ XSL mà hiện ra bảng hoặc biểu mẫu. Khi bộ xử lý bị tắt, trang có thể chỉ còn lại dữ liệu thô hoặc một màn hình trống. Theo cách TekCafe nhìn, nhóm dễ tổn thương nhất là ứng dụng đời cũ: trang quản trị của máy in, storage array, thiết bị công nghiệp, và công cụ nội bộ viết từ đầu những năm 2000. Nhiều ứng dụng kiểu này do nhà cung cấp viết, nên đường sửa lỗi có thể nằm ngoài tay đội nội bộ.

Lý do bảo mật lớn hơn nhiều so với mức sử dụng

Microsoft viện dẫn lý do bảo mật. Bộ xử lý XSLT tích hợp dựa trên mã native đã cũ, và phải đọc những tệp XML lẫn XSLT chưa đáng tin. Kiểu mã C/C++ này dễ phát sinh lỗi tràn bộ đệm, và khi bị khai thác thì có thể dẫn tới thực thi mã tùy ý. Chrome for Developers ước tính chỉ khoảng 0,02% lượt tải trang dùng XSLT, và dưới 0,001% dùng chỉ thị xử lý XSLT.

Phép tính ở đây khá rõ. Người dùng cuối gần như không mất gì khi tính năng này biến mất. Phần mất mát rơi vào những hệ thống ít được cập nhật, thường là các hệ thống doanh nghiệp đã chạy cả chục năm. Edge đang gỡ một bề mặt tấn công khó kiểm soát mà gần như không ai dùng, còn cái giá thì dồn vào vài nơi rất cụ thể.

Rà soát bằng Lighthouse trước khi Edge 159 phát hành

Cách kiểm tra Microsoft gợi ý khá gọn. Mở trang cần rà soát trong Edge, nhấn F12, chọn Lighthouse, đặt chế độ Navigation và tích nhóm Best Practices, rồi chạy phân tích. Trong báo cáo, tìm mục “Uses deprecated APIs” và dò chữ XSLT hoặc XSLTProcessor. Panel Issues và Console trong DevTools cũng hiện cảnh báo deprecation.

Với trang yêu cầu đăng nhập, cần tắt tùy chọn Clear storage trong cài đặt Lighthouse để giữ phiên đăng nhập. Vấn đề là Lighthouse chỉ thấy những gì chạy trong lúc kiểm tra. Một trang chỉ gọi XSLT khi người dùng bấm một nút hiếm dùng sẽ không lộ ra nếu không đi đúng luồng đó. Vì vậy nên chạy audit cho từng trang quan trọng và đi qua các luồng nghiệp vụ chính, thay vì chỉ quét trang đầu tiên.

XSLTEnabled chỉ mua thêm thời gian

Chính sách doanh nghiệp XSLTEnabled có từ Edge 147. Khi bật, XSLT chạy lại bất kể cấu hình mặc định. Khi tắt, XSLT không khả dụng. Microsoft ghi rõ đây là chính sách tạm thời, dự kiến bị gỡ trong Edge 176 vào mùa hè 2027.

Vì vậy chính sách này không nên được xem là lối thoát lâu dài. Nó giúp ứng dụng không gãy ngay sau Edge 159, nhưng cửa sổ đó có hạn. Việc nên làm trước tiên là lập danh sách ứng dụng còn phụ thuộc XSLT, gắn người chịu trách nhiệm cho từng ứng dụng, rồi lên kế hoạch đổi cách dựng giao diện hoặc chuyển phép biến đổi sang phía máy chủ. Với thiết bị phần cứng, con đường thực tế thường là chờ bản firmware từ hãng, nên cuộc trao đổi với nhà cung cấp nên bắt đầu sớm, không đợi đến tháng 12.

Nguồn tham khảo: Microsoft Learn: Site compatibility-impacting changes, Microsoft 365 Message Center MC1509789, Microsoft Learn: XSLTEnabled, Chrome for Developers