FindProxyForURL riceve la destinazione, non l'URL di download del PAC
Un parametro di query usato per recuperare un file PAC non viene esposto automaticamente come parte di ogni URL di destinazione passato alla funzione di instradamento.
Supponiamo che il tuo URL di configurazione sia https://config.example/proxy.pac?office=west. All'interno di FindProxyForURL(url, host), l'argomento url non è quell'URL di configurazione.
Descrive la richiesta di destinazione in fase di instradamento, soggetta alla sanificazione documentata del client. Lo script non ottiene un location.search simile a quello di una pagina contenente la stringa di query del download del PAC.
Se il parametro di query seleziona una configurazione, lascia che il server di configurazione lo usi deliberatamente quando genera lo script restituito. Il client riceve così una politica esplicita invece di tentare di recuperare metadati di download non disponibili a ogni decisione di instradamento.
Mantieni l'input sotto controllo ed evita di pubblicare segreti nell'URL di configurazione. Un URL usato per la distribuzione può comparire nei record di configurazione e nei log del server.
Questo è distinto dall'analisi della query di una destinazione. I browser possono anche rimuovere il percorso HTTPS e le informazioni di query da quell'input di destinazione, ma è un altro confine, non un accesso all'URL di download del PAC.