Vite 8.3.3 补丁：HTML 转换文件名处理与 WASM 实例的文件系统安全

Vite 8.3.3 发布了，一个补丁版本，但涉及的两个点都跟安全相关。

修了什么 一是 transformIndexHtml 里的文件名处理。二是 ?vite-wasm-instance 的文件系统安全。三是模块路径存储的正确性。

为什么文件名处理会是个安全问题 transformIndexHtml 是 Vite 处理入口 HTML 的钩子，插件可以在这里改写 HTML 内容。如果文件名处理有漏洞，可能构造出路径穿越，让构建过程读或写到预期之外的位置。开发服务器在本地跑，看似风险有限，但 CI 环境和共享开发机上就不是小事。

WASM 实例那条更值得留意 ?vite-wasm-instance 是 Vite 处理 WebAssembly 模块的机制。WASM 模块在浏览器里运行时有自己的文件系统抽象，如果这个抽象跟真实文件系统的边界没划清，就可能出现越界访问。

建议的动作

1. 直接升。8.3.3 是小版本补丁，兼容性风险低。
2. 如果你的项目用了自定义 Vite 插件并且实现了 transformIndexHtml，升级后跑一遍构建确认输出没变。
3. 用了 WASM 的项目，重点验证一下开发模式和生产构建下模块加载都正常。
4. 检查 lock 文件里 vite 的实际解析版本。有些依赖会拉自己的 vite，npm ls vite 看一眼。

关于 Vite 的版本节奏 Vite 最近的 patch 发布挺密集，另外 6.4.4、7.3.7、8.1.6、8.2.4 这几个版本只有依赖升级没有实质改动。如果你的项目还在旧大版本上，不需要为了这些 patch 跨大版本升级，但要确认当前大版本有没有对应的安全修复。

一个实操提醒 构建工具的安全更新容易被忽略，因为它不直接暴露在公网。但构建环节被污染会影响到所有产物，属于供应链攻击的典型路径。把构建依赖的安全更新纳入常规维护，别只在运行时依赖上做文章。

本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。

构建工具的安全更新最容易被忽略，因为它不直接暴露在公网。但构建环节被污染会影响所有产物，属于典型的供应链攻击路径，该纳入常规维护。

补丁版本号看着小，transformIndexHtml 这条其实挺关键。插件在这个钩子里能改 HTML，文件名处理一旦有漏洞就是路径穿越，构建时能写到预期外的目录。本地开发服务器大家不当回事，但 CI 上跑的是同一套插件链。建议锁版本的同时把构建目录权限收紧。