Розпізнавайте навігаційні підказки в журналах прямого проксі

Тлумачте заголовки Fetch Metadata там, де вони видимі, не стверджуючи, що знаєте, чи людина ввела URL.

Sec-Fetch-Mode: navigate
Sec-Fetch-Dest: document
Sec-Fetch-User: ?1

Де вони видимі, ці поля Fetch Metadata вказують на навігацію документа, пов'язану з активацією користувача: navigate — це режим, document — тип призначення, а Sec-Fetch-User: ?1 — сигнал активації.

Вони не визначають натискання клавіші в адресному рядку. Клік по посиланню також може створити пов'язані метадані, а відсутність Referer залежить ще й від політики реферера та контексту запиту.

Спершу перевірте видимість. Звичайний релей CONNECT бачить цільовий хост/порт і зашифрований трафік, а не заголовки внутрішнього сайту. Для видимих HTTP-запитів залишайте категорію невідомою, якщо поля відсутні або не підтримуються.

Ці значення є контекстним свідченням, а не автентифікацією. Звичайний клієнт, що не є браузером, може скласти ті самі рядки. Якщо керований застосунок потребує точної прив'язки дій інтерфейсу, надсилайте визначену подію застосунку з кореляцією запиту; журнали URL проксі не можуть відтворити кожну дію введення.

Схожі статті