FindProxyForURL получава дестинацията, а не URL адреса за изтегляне на PAC
Параметър на заявката, използван за извличане на PAC файл, не се разкрива автоматично като част от всеки URL адрес на дестинация, подаден на функцията за маршрутизиране.
Да предположим, че URL адресът на конфигурацията ви е https://config.example/proxy.pac?office=west. Вътре в FindProxyForURL(url, host) аргументът url не е този URL адрес на конфигурацията.
Той описва заявката към дестинацията, която се маршрутизира, съобразно документираното санитизиране от страна на клиента. Скриптът не получава подобен на страница location.search, съдържащ низа на заявката за изтегляне на PAC.
Ако параметърът на заявката избира конфигурация, оставете сървъра за конфигурация да го използва съзнателно, когато генерира върнатия скрипт. Тогава клиентът получава явна политика, вместо да се опитва да възстанови недостъпни метаданни за изтеглянето при всяко решение за маршрутизиране.
Дръжте входа под контрол и избягвайте публикуването на тайни в URL адреса на конфигурацията. URL адрес, използван за разпространение, може да се появи в конфигурационни записи и сървърни журнали.
Това е отделно от анализирането на заявката на дестинацията. Браузърите също могат да премахват пътя по HTTPS и информацията за заявката от този вход на дестинацията, но това е друга граница, а не достъп до URL адреса за изтегляне на PAC.