2016 年没有钱包扩展，网页直连节点 RPC 要么被浏览器拦住，要么开启 CORS 后任意解锁账户都可能被动用。EIP-107 提出由节点提供弹窗确认来补上同意环节。本文拆解这套 iframe 只读加弹窗确认的结构、密码解锁路径，以及它停在 Stagnant 的原因和留给今天的边界课。