一位Hacker News用户于9月7日发帖披露了在线代码编辑器CodePen 2.0的一个隐私隐患：该平台在用户编辑代码时会将所有键入的内容实时上传至codepen.dev的服务器，数据传输的延迟仅为一到两秒。该用户通过设置一个独特标记物（unique marker）进行了实验性验证——在HTML面板中输入特定字符串后，CodePen随即以save:false参数触发了一次云端构建，而标记内容原封不动地出现在了生成预览页面的HTML中。
这意味着即使用户从未主动保存编辑内容，甚至只是在编辑器中随意输入了一些可能包含敏感信息的代码片段（如API密钥、密码或内部配置信息），这些内容就已经被传输到了CodePen的远程服务器上。对于习惯将CodePen当作快速代码草稿本的开发者来说，这一行为模式可能超出了他们对"在线编辑器"功能边界的预期。
在Hacker News的讨论中，部分评论者为CodePen的行为进行了辩护，指出这种数据传输是实现实时预览和自动补全功能的技术前提——前端代码无法在本地端猜测语言上下文并生成高质量的代码补全建议，必须将当前编辑内容发送至服务器进行处理。也有评论提到，CodePen需要在服务端渲染预览面板的内容，这同样要求实时获取编辑器中的最新代码。
然而，反对的声音同样强烈。有用户指出，许多在线编辑器已经能够将语法高亮、自动补全等基础功能完全在客户端实现，不需要将完整的编辑内容发送到服务器。更有用户将CodePen的行为与HotJar等用户行为分析工具相提并论——这类工具不仅记录键入内容，还会录制鼠标移动轨迹和点击行为，本质上构成了一种"会话录制"。
从行业视角来看，实时上传用户输入在现代Web应用中并不罕见。谷歌文档、Notion、Figma等协作工具都以实时同步为核心卖点，但这些产品的用户通常对其数据传输行为有更明确的知情预期。代码编辑器的使用场景有所不同——开发者经常在编辑器中快速测试包含凭证或内部信息的代码片段，并不一定预期这些内容会被保存或传输。
CodePen在2023年推出了2.0版本重构，引入了更强大的实时协作、AI辅助编码和云端构建能力。这些新功能的实现确实依赖于服务端的持续数据同步，但平台在UI层面是否充分告知用户了数据传输的范围和时机，仍然是一个有待讨论的用户体验设计问题。
此事件也再次引发了开发者社区对在线工具隐私边界的反思。越来越多的开发工作流依赖云端编辑器和AI辅助工具，每一次键击都可能被远程服务器捕获和处理。对于需要处理敏感代码的企业开发团队来说，选择自托管或离线优先的开发环境可能比以往任何时候都更加重要。
截至目前，CodePen官方尚未对这一发现发表公开回应。部分社区成员建议CodePen至少提供一个明确的开关选项，让用户可以选择是否启用实时预览功能，或者至少在产品文档中更清晰地说明编辑器的网络通信行为。