FindProxyForURL primește destinația, nu URL-ul de descărcare al PAC
Un parametru de interogare folosit pentru a obține un fișier PAC nu este expus automat ca parte din fiecare URL de destinație transmis funcției de rutare.
Să presupunem că URL-ul de configurare este https://config.example/proxy.pac?office=west. În interiorul FindProxyForURL(url, host), argumentul url nu este acel URL de configurare.
El descrie cererea de destinație care este rutată, supusă sanitizării documentate a clientului. Scriptul nu primește un location.search asemănător unei pagini care să conțină șirul de interogare al descărcării PAC.
Dacă parametrul de interogare selectează o configurație, lăsați serverul de configurare să îl folosească în mod deliberat când generează scriptul returnat. Clientul primește atunci o politică explicită în loc să încerce să recupereze metadate de descărcare indisponibile la fiecare decizie de rutare.
Țineți intrarea sub control și evitați publicarea de secrete în URL-ul de configurare. Un URL folosit pentru distribuire poate apărea în înregistrările de configurare și în jurnalele serverului.
Aceasta este separat de analizarea interogării unei destinații. Browserele pot elimina și calea HTTPS și informațiile de interogare din acea intrare de destinație, dar aceea este o altă graniță, nu un acces la URL-ul de descărcare al PAC.