Css 托管网页字体，CDN'；s、 @font-face和隐私

如果您在CDN、@font-face或Typekit等服务上使用托管字体，主机是否可以读取页面中字体呈现的所有字符（从而读取页面内容）

如果是这样，这似乎将是一个重大的隐私问题

---

有关此主题的任何专业知识或推荐阅读材料？

Web字体存储为单片文件（WOFF、OTF、EOT或SVG），浏览器必须完整获取这些文件以显示其中的任何字符。因此，无法检测单个字符的使用情况

在web字体嵌入中存在潜在的隐私泄露，但这是一个更微妙的问题，不太可能被利用

仅当您将web字体用作备用字体时，才会发生此错误，例如：

@font-face {
  font-family: "One";
  src: url(http://themes.googleusercontent.com/static/fonts/overlock/v2/Pr-80_x4SIOocpxz2VxC5fesZW2xOQ-xsNqO47m55DA.woff) format('woff');
}
@font-face {
  font-family: "Two";
  src: url(http://themes.googleusercontent.com/static/fonts/overlock/v2/EcjpF2hW5gSZ4M16YLdG84bN6UDyHWBl620a-IRfuBk.woff) format('woff');
}
p {
    font-family: "One", "Two", sans-serif;
}

在本例中，如果

元素中只有拉丁字符，浏览器可能会选择仅获取字体“One”的WOFF文件。如果“One”字体中没有其他字符，浏览器也必须获取第二个文件，以便在“Two”中查找字符的标志符号。因此，外部方可以知道页面上使用了“一”中不存在的一个或多个字符

我不会担心的。在我看来，您不太可能使用嵌入式回退字体（除了故意尝试优化常见字符，并在使用不常见字符的情况下使用相同字体的扩展版本）

---

无论如何，这并不是在所有浏览器上都会发生。Chrome可以做到这一点；Firefox总是获取文档中某个元素使用的字体系列列表中包含的所有嵌入字体。

Wow，这是一个很棒的答案。谢谢。：-）