FindProxyForURL menerima destinasi, bukan URL muat turun PAC
Parameter pertanyaan yang digunakan untuk mengambil fail PAC tidak didedahkan secara automatik sebagai sebahagian daripada setiap URL destinasi yang dihantar kepada fungsi penghalaan.
Katakan URL konfigurasi anda ialah https://config.example/proxy.pac?office=west. Di dalam FindProxyForURL(url, host), argumen url bukan URL konfigurasi itu.
Ia menerangkan permintaan destinasi yang sedang dihalakan, tertakluk kepada sanitasi klien yang didokumenkan. Skrip tidak memperoleh location.search seperti halaman yang mengandungi rentetan pertanyaan muat turun PAC.
Jika parameter pertanyaan memilih konfigurasi, biarkan pelayan konfigurasi menggunakannya secara sengaja semasa menjana skrip yang dikembalikan. Klien kemudian menerima dasar yang jelas dan bukannya cuba memulihkan metadata muat turun yang tidak tersedia pada setiap keputusan penghalaan.
Kawal input dan elakkan menerbitkan rahsia dalam URL konfigurasi. URL yang digunakan untuk pengedaran boleh muncul dalam rekod konfigurasi dan log pelayan.
Ini berasingan daripada menghuraikan pertanyaan sesuatu destinasi. Pelayar juga boleh membuang laluan HTTPS dan maklumat pertanyaan daripada input destinasi itu, tetapi itu sempadan lain, bukan akses kepada URL muat turun PAC.