Playwright MCP 0.0.84: tách phiên đa tài khoản, che token trong URL
Playwright MCP 0.0.84 cho phép tách browser context theo tên trong cùng một trình duyệt và che giá trị động như access token, mã cấp quyền trong URL phản hồi công cụ.
Một browser agent có thể cần làm việc với nhiều tài khoản trong cùng một quy trình. Nếu các tab dùng chung cookie và dữ liệu lưu trữ, nguy cơ thao tác nhầm ngữ cảnh sẽ tăng lên.
Playwright MCP 0.0.84 bổ sung hai thay đổi đáng chú ý cho tình huống này: tách phiên theo tên ngay trong một trình duyệt, và che các giá trị động nhạy cảm xuất hiện trong URL trước khi chúng được trả về qua phản hồi công cụ.
Tách browser context theo tên
Khi tạo tab mới bằng browsertabs với action: "new", Playwright MCP nay nhận thêm tham số:
json
{
"action": "new",
"isolatedContext": "ops"
}
Cách hoạt động:
Tab có cùng giá trị isolatedContext sẽ dùng chung một browser context.
Tab có tên isolatedContext khác nhau sẽ được cô lập cookie và storage.
Nếu bỏ qua tham số này, hoặc dùng "default", tab sẽ thuộc context mặc định.
Các công cụ làm việc với cookie và storage thao tác trên context của tab hiện tại.
Ví dụ, một luồng có thể mở tab cho nhóm vận hành trong context ops và mở tab cho một phạm vi khác trong context customer:
json
{
"action": "new",
"isolatedContext": "customer"
}
Điểm này giúp tổ chức các phiên đa tài khoản rõ ràng hơn mà không nhất thiết phải mở nhiều trình duyệt. Tuy vậy, context cô lập không đồng nghĩa với một ranh giới bảo mật tuyệt đối: đội triển khai vẫn cần kiểm soát quyền của client, credential và các công cụ mà agent được gọi.
Che access token và mã cấp quyền trong URL
Một số luồng đăng nhập hoặc cấp quyền đưa accesstoken, code và các giá trị phiên động vào query string hoặc fragment của URL. Vì chúng chỉ xuất hiện khi luồng đang chạy, không thể luôn khai báo trước trong tệp secrets.
Phiên bản 0.0.84 bổ sung tùy chọn:
bash
--redact-url-params=accesstoken,code
Các giá trị của tham số được chỉ định sẽ được thay bằng <redacted> trong phản hồi công cụ. Tính năng này cũng có thể được cấu hình qua redactUrlParams hoặc biến môi trường:
text
PLAYWRIGHTMCPREDACTURLPARAMS
Extension của Playwright MCP cũng xóa connection token khỏi URL của trang kết nối sau khi đã đọc token.
Điều quan trọng là ghi chú phát hành nêu rõ: đây là tiện ích hỗ trợ, không phải tính năng bảo mật hoàn chỉnh. Che giá trị trong phản hồi công cụ có thể giảm nguy cơ token vô tình xuất hiện trong log hoặc hội thoại, nhưng không thay thế việc quản lý secrets, kiểm soát quyền truy cập và chính sách lưu log.
Một số cải tiến hữu ích khác
Bản cập nhật còn có các thay đổi đáng chú ý khi xây dựng hoặc gỡ lỗi browser automation:
browserfind nhận maxResults là số nguyên dương, trả về các kết quả đầu tiên kèm ngữ cảnh và tổng số kết quả khớp.
browsernetworkrequests nhận all: true để bao gồm lịch sử request được giữ lại từ các lần điều hướng trước, tối đa 200 request.
browsercookiedelete có thêm bộ lọc domain và path, giúp tránh xóa mọi cookie trùng tên.
Các công cụ thao tác phần tử, như browserclick, có thể nhận locator theo JavaScript, Python, Java và C#, bên cạnh snapshot ref và CSS selector.
Với browserwaitfor, khi kết hợp điều kiện thời gian với điều kiện văn bản, giá trị thời gian được dùng làm timeout và bị giới hạn ở 30 giây.
Nâng cấp thế nào?
Các cấu hình dùng @playwright/mcp@latest sẽ nhận bản phát hành này ở lần khởi động client tiếp theo. Nếu muốn cố định phiên bản để kiểm thử, dùng:
bash
npx @playwright/mcp@0.0.84
Điều đáng lưu ý cho đội automation
Với các workflow có nhiều tài khoản hoặc nhiều phạm vi dữ liệu, isolatedContext là một cách rõ ràng để phân nhóm phiên làm việc. Việc đặt tên context theo mục đích — chẳng hạn ops, support hoặc customer — cũng giúp việc theo dõi luồng dễ hiểu hơn.
Còn với URL có token hoặc mã cấp quyền, --redact-url-params là lớp giảm lộ lọt hữu ích trong phản hồi công cụ. Nhưng trước khi đưa vào môi trường vận hành, vẫn cần xem lại nơi log được lưu, ai có quyền xem log và dữ liệu nào được gửi vào AI client.
Playwright MCP 0.0.84 không biến browser agent thành hệ thống an toàn mặc định. Dù vậy, tách session theo context và che giá trị động trong URL là hai bổ sung thiết thực cho các luồng automation đa tài khoản.