Ang FindProxyForURL ay tumatanggap ng destinasyon, hindi ang PAC download URL
Ang query parameter na ginagamit upang kumuha ng PAC file ay hindi awtomatikong inilalantad bilang bahagi ng bawat destinasyong URL na ipinapasa sa routing function.
Ipagpalagay na ang configuration URL mo ay https://config.example/proxy.pac?office=west. Sa loob ng FindProxyForURL(url, host), ang argumentong url ay hindi ang configuration URL na iyon.
Inilalarawan nito ang kahilingang destinasyon na pinapasa-pasa, alinsunod sa dokumentadong sanitization ng kliyente. Hindi nakakakuha ang script ng location.search na tulad ng pahina na naglalaman ng query string ng PAC download.
Kung pinipili ng query parameter ang isang configuration, hayaan ang configuration server na gamitin ito nang sinasadya kapag bumubuo ng ibinalik na script. Pagkatapos, tumatanggap ang kliyente ng tahasang patakaran sa halip na subukang ibalik ang hindi magagamit na download metadata sa bawat desisyon sa routing.
Panatilihing kontrolado ang input at iwasang maglathala ng mga sikreto sa configuration URL. Ang URL na ginagamit para sa pamamahagi ay maaaring lumitaw sa mga talaan ng configuration at log ng server.
Ito ay hiwalay sa pag-parse ng query ng isang destinasyon. Maaari ring alisin ng mga browser ang HTTPS path at impormasyon ng query mula sa input ng destinasyon, ngunit ibang hangganan iyon, hindi pag-access sa PAC download URL.