FindProxyForURL menerima tujuan, bukan URL unduhan PAC
Parameter kueri yang digunakan untuk mengambil berkas PAC tidak otomatis terekspos sebagai bagian dari setiap URL tujuan yang diteruskan ke fungsi perutean.
Misalkan URL konfigurasi Anda adalah https://config.example/proxy.pac?office=west. Di dalam FindProxyForURL(url, host), argumen url bukan URL konfigurasi tersebut.
Argumen itu menjelaskan permintaan tujuan yang sedang dirutekan, tunduk pada sanitasi terdokumentasi dari klien. Skrip tidak memperoleh location.search mirip halaman yang memuat string kueri unduhan PAC.
Jika parameter kueri memilih konfigurasi, biarkan server konfigurasi menggunakannya secara sengaja saat menghasilkan skrip yang dikembalikan. Klien lalu menerima kebijakan eksplisit alih-alih mencoba memulihkan metadata unduhan yang tidak tersedia pada setiap keputusan perutean.
Jaga input tetap terkendali dan hindari mempublikasikan rahasia dalam URL konfigurasi. URL yang dipakai untuk distribusi dapat muncul dalam catatan konfigurasi dan log server.
Hal ini terpisah dari penguraian kueri suatu tujuan. Peramban juga dapat membuang jalur HTTPS dan informasi kueri dari input tujuan tersebut, tetapi itu batas lain, bukan akses ke URL unduhan PAC.