当攻击者在具有带有exportable = true的CryptoKey对象的页面上注入javascript时，他可以导出密钥并将字节发送到自己的服务器。
使用exportable = false时，攻击者无法直接发送字节，但可以将CryptoKey对象用作预知性已知明文攻击的预言。
在什么情况下，攻击者可以恢复底层的秘密字节并将其发送到自己的服务器？也就是说，在哪种情况下使用不可导出的密钥有用吗？ Webcrypto算法（AES-CBC，RSA-OAEP等）之间是否有所不同？
注意：由于攻击者可以注入任意JavaScript，因此它可以控制整个api的使用：明文，对于使用IV的模式（例如AES-CBC），它也可以控制IV。