FindProxyForURL mottar målet, ikke PAC-nedlastingsadressen
En spørringsparameter som brukes til å hente en PAC-fil, eksponeres ikke automatisk som en del av hver mål-URL som sendes til rutingfunksjonen.
Anta at konfigurasjons-URL-en din er https://config.example/proxy.pac?office=west. Inne i FindProxyForURL(url, host) er argumentet url ikke denne konfigurasjons-URL-en.
Det beskriver mål-forespørselen som rutes, underlagt klientens dokumenterte sanering. Skriptet får ikke en sideaktig location.search som inneholder spørringsstrengen for PAC-nedlastingen.
Hvis spørringsparameteren velger en konfigurasjon, la konfigurasjonsserveren bruke den bevisst når den genererer skriptet som returneres. Klienten mottar da en eksplisitt policy i stedet for å prøve å gjenopprette utilgjengelige nedlastingsmetadata ved hver rutingsbeslutning.
Hold inndata under kontroll og unngå å publisere hemmeligheter i konfigurasjons-URL-en. En URL som brukes til distribusjon, kan forekomme i konfigurasjonsoppføringer og serverlogger.
Dette er atskilt fra å analysere spørringen til et mål. Nettlesere kan også fjerne HTTPS-bane og spørringsinformasjon fra denne mål-inndataen, men det er en annen grense, ikke tilgang til PAC-nedlastingsadressen.