FindProxyForURL が受け取るのは宛先であり、PAC のダウンロード URL ではない

設定 URL が https://config.example/proxy.pac?office=west だとします。FindProxyForURL(url, host) の内部では、url 引数はその設定 URL ではありません。

それはルーティングされる宛先リクエストを表し、クライアントの文書化されたサニタイズの対象になります。スクリプトは、PAC ダウンロードのクエリ文字列を含むページのような location.search を得ることはありません。

クエリパラメータが設定を選択する場合は、返されるスクリプトを生成するときに設定サーバーが意図的にそれを使うようにします。そうすればクライアントは、ルーティングの判断のたびに利用できないダウンロードのメタデータを復元しようとするのではなく、明示的なポリシーを受け取ります。

入力は制御下に置き、設定 URL に秘密情報を公開しないでください。配布に使われる URL は、設定の記録やサーバーログに現れることがあります。

これは宛先のクエリを解析することとは別です。ブラウザは、その宛先入力から HTTPS のパスとクエリ情報 も削除することがありますが、それは別の境界であり、PAC のダウンロード URL へのアクセスではありません。