Mozilla 新 Firefox 服务 Private Relay 将为在线表格生成随机电邮地址，保护用户真正的电邮地址免受广告商和垃圾信息发送者的侵扰。该服务上个月开始测试，目前处于封闭式测试阶段，计划今年晚些时候公测。Private Relay 将作为 Firefox 扩展提供给用户，用户只需要一次点击就能生成随机地址。很多网站会要求用户提供电邮地址，如订阅新闻简讯。Mozilla 表示它会将随机电邮地址的邮件转发给用户真正的邮箱，如果用户收到的邮件是垃圾信息，用户可以删除这个电邮地址。

Mozilla 发布了 Firefox 75，表示将会按照原定发布时间表发布新版本。Firefox 75 的主要新特性包括：全新的地址栏，为较小的屏幕进行了优化，改进了搜索建议的可读性，点击地址栏将会显示常用网站列表；改进了搜索功能；本地缓存所有 Web PKI Certificate Authority 证书；Linux 版本发布了 Flatpak 打包格式；Windows 版整合了 Direct Composition；bug 修复和开发者工具等等。许多老用户对于 Firefox 调整地址栏可能并不感冒，他们可以修改配置返回熟悉的界面，方法是 about:config --> browser.urlbar.update1 --> false。

4 月 2 日，Twitter 官方博客称，Mozilla Firefox 储存缓存的方式可能导致用户的非公开信息储存在浏览器的缓存里，这意味着如果你用 Mozilla Firefox 在公用或共享计算机上访问 Twitter，采取行动如下载存档或发送接收私信，那么你登出之后这些信息可能会仍然储存在浏览器的缓存里。Twitter 称这个私信缓存问题只影响 Firefox 不影响 Safari 或 Chrome。那么这个问题是否应该怪罪于 Firefox？Mozilla 对此有不同看法，Mozilla 官方博客在 4 月 3 日回应指出是 Twitter 自己导致了这个问题。Mozilla 开发者指出，Twitter 的 Cache-Control 指令设置不正确。RFC 7234 定义了缓存工作机制，其中的关键是 Cache-Control 头文件，网站使用 Cache-Control 告诉浏览器哪些内容可安全储存在缓存里。缓存内容可加快内容访问，因此除非网站明确指出不允许浏览器会缓存大部分内容，这个机制叫 Heuristic caching（启发式缓存）。Firefox 的启发式缓存会缓存内容七天。Twitter 没有给私信的缓存加入 no-store 指令。这个问题之所以没有在其它浏览器上重现是因为当 Content-Disposition 出现的情况下这些浏览器会禁用启发式缓存。而在 Firefox 上，Content-Disposition 存在的情况下没有禁用启发式缓存。问题看起来是 Twitter 没有在 Firefox 上测试其网站的缓存行为。这其实是一种非常普遍的现象。

Mozilla 释出了 Firefox 74.0.1，修复了两个正被利用的 0day 漏洞。两个漏洞编号 CVE-2020-6819 和 CVE-2020-6820，都属于使用后释放（use-after-free）漏洞，前者与 nsDocShell 解构子有关，后者与 ReadableStream 有关。Mozilla 没有公布漏洞细节，只是表示两个漏洞正被利用发动针对性攻击。JMP Security 的安全研究员 Francisco Alonso 发现了这两个 0day 漏洞，根据其在 Twitter 上发表的帖子，其它浏览器也可能受到影响。

网景（Netscaps）在 1998 年开源了它的浏览器，Mozilla 在此基础上开发了 Firefox 浏览器。22 年之后，Firefox 经历了多次重大的迭代更新，目前正使用 Rust 语言对浏览器进行重构。那么 22 年的今天 Firefox 浏览器还保留了多少来自 Netscape Navigator 的代码？答案是很多。根据版本历史，Firefox 的 HTML 解析器中的部分文件有 22 年历史；NetScape Portable Runtime 库 nsprpub 原始版本的 65,745 行代码有 36,046 行与当前版本相同，保留的比例占到了 54.8%。

在 Chrome 之后，Mozilla 宣布 Firefox 将移除对 FTP 协议的支持。未来 Firefox 用户将无法通过 FTP 协议下载文件或在浏览器上浏览 FTP 网址/文件夹里的内容。Mozilla 工程师 Michal Novotny 给出的理由和 Chrome 相同：出于安全考虑。他说，FTP 是一种不安全的协议，通过 HTTPS 下载资源要更安全。此外部分 FTP 的代码相当陈旧，维护困难，过去已经发现了很多 bug。Mozilla 计划在 6 月发布的 Firefox 77 中禁用 FTP 协议。

Mozilla 释出了 Firefox 74。主要新特性包括：密码管理器 Lockwise 的登陆管理支持逆向字典排序；支持从新 Microsoft Edge 导入书签和历史；扩展管理器能移除外部应用安装的扩展，从现在开始只有用户能安装扩展，不再允许应用安装；Facebook Container 支持加入非 Facebook 网站；部分支持 WebRTC 视频和语音呼叫隐藏 IP 以保护隐私；禁用 TLS 1.0 和TLS 1.1；等等。

Mozilla 宣布，从 2 月 25 日起 Firefox 开始对美国用户默认启用 DNS over HTTPS（DOH）。DOH 设计通过 HTTPS 加密向第三方或用户自己搭建的 DNS 服务器发出域名查询请求。Mozilla 认为 DoH 是更安全的域名解析方法。Mozilla 表示，如果用户选择了家长控制或禁用 DoH，它会尊重用户的选择；除非企业配置明确启用 DoH 它会遵守企业配置禁用 DoH；如果因为故障或其他问题导致域名查询失败它会回滚到操作系统默认使用的 DNS 服务器。想要关闭 DoH 的用户可以打开 about:config，搜索 network.trr，将 network.trr.mode 的值设为 5。目前 Firefox 可选择的 DNS 服务器提供商包括 Cloudflare 和 NextDNS。

Firefox 的 Mac 和 Linux 版本引入了新的沙盒安全系统。该技术被称为 RLBox，它会隔离第三方库和应用的原生码，防止恶意代码逃逸到第三方库之外。RLBox 将沙盒技术带到了新的水平，它不是隔离应用和底层系统，而是隔离应用内部组件（或叫第三方库）和应用核心引擎。RLBox 的开发始于 2019 年，是 Mozilla 和加州圣迭戈、得州奥斯丁和斯坦福大学合作的一部分。它将随下个月发布的  Firefox 74 for Linux 和 4 月发布的 Firefox 75 for Mac 提供给用户，未来会扩大到其它平台如 Windows。RLBox 是一个通用框架，可以被其它应用使用。它包括两个部分，其一是基于 WebAssembly 的沙盒环境，其二是可被其它应用使用的 API。

如果你身处美国，有一台 Chromebook 或一台 Windows PC 或一部 Android 设备，你将可以参与测试 Firefox Private Network 的 Beta 版本——这是 Mozilla 推出的 VPN 服务。Mozilla 提供的 Firefox Private Network 服务有两个选项，一个是免费的浏览器扩展版本，实际上是 HTTP/HTTPS 代理，由合作伙伴 Cloudflare 运营；另一个是完整的 VPN 服务，每月收费 4.99 美元，由瑞典开源公司 Mullvad 提供，一个账号支持最多 5 个设备同时使用，可选择 30 多个国家的服务器。付费版本不记录用户日志。

Firefox 将支持图像和 iFrames 的延迟加载(Lazy Loading)，而最大的博客服务 Wordpress 将默认支持图像的延迟加载。延迟加载又名懒加载，顾名思义，为了加快页面加载速度优先显示第一屏文本而推迟加载关联对象，这些关联对象直到要使用时才会开始加载。Firefox 75 Nightly 版支持延迟加载但默认没有启用，暂时不清楚正式版是否会启用该功能。Chrome、Edge 和 Opera 浏览器已经加入了对该功能的支持。

Mozilla 释出了 Firefox 73，主要新特性包括：实现了一个全局的缩放水平设置，该设置位于 about:preferences 的 Language and Appearance 栏，用户可根据需要设置应用于所有网站的缩放水平；引入“可读性背板”去改进网站的可读性；WebRender 在使用 Nvidia 显卡驱动版本 432.00 以上分辨率 1920x1200 以下的笔记本电脑上启用；bug 修正，新的开发者工具、改进网站兼容性，等等。

Mozilla 向用户提供了一个专门的页面展示 Firefox 收集的遥测数据。在地址栏输入 about:telemetry，用户可以看到 Mozilla 收集的遥测数据如浏览器设置、安装的扩展、操作系统/硬件信息，浏览器会话以及运行的进程。Firefox 的一名工程师称，这个页面最初是为了自私的理由创建的，旨在帮助工程师调试 Firefox。

Firefox 本周早些时候紧急释出更新 Firefox 72.0.1 和 Firefox ESR 68.4.1，修复了一个正被利用 0day 漏洞。OpenBSD 开发者表示他们不会更新稳定版分支，建议其用户切换到 ESR 版本（扩展支持版）。开发者给出的理由，由于依赖问题(如 cbindgen 和 rust)，给 Firefox 打补丁太复杂了，所以稳定版本不会得到更新，因此正被利用的漏洞仍然存在，但 ESR 版会得到更新，开发者建议用户切换到 ESR 版本。

Mozilla 释出了 Firefox v72.0.1 和 ESR 68.4.1，紧急修复了一个正被利用的漏洞。该漏洞属于类型混淆，影响 IonMonkey，它是 Firefox JS 引擎 SpiderMonkey 的 JIT 编译器。该漏洞由中国安全公司奇虎 360 发现和报告，细节没有披露。该公司在一则已删除的推文中称，IE 也有一个 0day 漏洞也正被利用。这是 Mozilla 在过去一年修复的第三个 0day 漏洞。

Mozilla 发布了 Firefox 72。主要新特性包括：Enhanced Tracking Protection 默认屏蔽指纹脚本；恼人的弹出式通知被对话泡泡取代；视频画中画功能支持 Mac 和 Linux；bug 修复；因使用率低和用户体验不佳而移除对个别域名图像屏蔽功能；实验性支持使用来自操作系统的客户端证书；开发者工具 Debugger Watchpoints；等等。

Mozilla 宣布 NextDNS 将在 Cloudflare 之后成为第二个 DNS-over-HTTPS(DoH)服务商。DoH 旨在加密 DNS 请求，保护用户的隐私，在启用之后 DNS 查询流量将加密通过 443 端口传输出去。Mozilla 称，NextDNS 通过了它的 Trusted Recursive Resolver (TRR)项目制定的条件，将添加到 Firefox 作为第二个 DoH 选项。TRR 的条件包括：限制从用户收集的数据；透明化数据收集；承诺不审查、过滤或屏蔽 DNS 流量，除非来自执法机构的要求。

Mozilla 从 Firefox 扩展网站移除了 Avast 及其子公司 AVG 的四个扩展。这四个扩展是 Avast Online Security、AVG Online Security、Avast SafePrice 和 AVG SafePrice。前两个会对恶意或可疑网站显示警告，后两个则提供电商比价信息、打折和优惠券信息。Mozilla 是在收到 AdBlock Plus 扩展作者 Wladimir Palant 的举报之后移除这个四个扩展的。Palant 对 Avast Online Security 和 AVG Online Security 进行了分析，发现它们收集了超过其需求的信息，包括详细的用户浏览历史，Mozilla 和 Google 都禁止这一行为。 Avast 和 AVG SafePrice 都存在类似的问题。Avast 表示它正与 Mozilla 合作解决这个问题。

Mozilla 释出了 Firefox 71。主要新特性包括：改进密码管理器 Lockwise，能识别子域名，自动填入登录信息； Enhanced Tracking Protection 跟踪保护功能会在屏蔽数字货币挖矿软件时发出通知；Windows 版本支持视频画中画，视频可作为一个浮动窗口展示在其它标签页上；原生 MP3 解码；多个开发者工具，等等。

DigiTrust 正在开发一种标准化的共享用户 ID 以减少广告行业对第三方 cookies 的依赖。浏览器开发商正越来越多的采取行动屏蔽第三方跨站 cookies，新的方案就是应对这一情况而进行反制。DigiTrust 形容它的方案是提供一种匿名加密的身份标识符储存在第一方 cookies 内，其它广告商可以利用该共享标识符跟踪用户，不再需要第三方 cookies。Mozilla 发言人对此表示，未来版本的 Firefox 将屏蔽 DigiTrust 的通用 ID 跟踪。DigiTrust 不是唯一一家提供通用 ID 方案的机构，LiveRamp 和 The Trade Desk 都在提供类似的方案。