Video & sari kata · Pemuat Turun Media Langsung
Cara Muat Turun Media Langsung mengumumkan permintaan sebelum membuat permintaan
· Bagaimana ia berfungsi
privasi http keselamatan
Dua alat ToolAcre menggunakan rangkaian mengikut reka bentuk, dan masing-masing mengumumkan setiap permintaan sebelum membuatnya. Siaran ini menerangkan corak umumkan kemudian ambil, perkara yang direkodkan oleh pendaftaran dan cara mengesahkannya sendiri.
Kebanyakan tapak muat turun menghubungi suatu tempat sebelum anda selesai menampal — jurang kepercayaan yang dibuat oleh permintaan senyap
Pemuat turun yang menghantar pautan yang ditampal semasa menaip telah melintasi sempadan sebelum pelawat boleh memeriksanya. Direct Media Downloader sebaliknya menjalankan penghuraian input secara setempat. Status menamakan hos dan menyatakan bahawa tiada apa-apa yang telah dihubungi, meninggalkan masa untuk menolak destinasi yang tidak dijangka.
Ini lebih kuat daripada lencana privasi generik kerana ia mengikat masa kepada tindakan yang boleh dilihat. Semak pautan dan Muat Turun adalah satu-satunya kawalan rangkaian media. Kebenaran papan klip, aset halaman dan perkhidmatan seluruh tapak adalah permukaan yang berasingan dan tidak boleh dilipat menjadi tuntutan bahawa seluruh halaman tidak membuat permintaan. Oleh itu, seorang penilai harus menerangkan "tiada permintaan semasa menaip" secara berasingan daripada pemuatan halaman yang lebih luas, dan bukannya membentangkan jejak media yang ditapis sebagai bukti senyap sepenuhnya.
Langkah pengumuman: menamakan hos sebelum pengambilan — perkara yang ditunjukkan oleh alat dan sebab ia datang daripada URL yang dihuraikan
Selepas URL pemeriksaan keselamatan lulus, antara muka memaparkan nama hos biasa yang diperoleh daripada alamat yang ditampal. Ia tidak melakukan carian awal untuk mendapatkan nama itu. Ini menjadikan pengumuman tersedia tanpa membocorkan URL kepada penyelesai yang dipilih oleh aplikasi.
Menekan pautan Semak dilabelkan sebagai permintaan dan menghantar HEAD ke URL itu. Menekan Muat Turun menghantar GET. Kedua-duanya meninggalkan bukti kelayakan, menyekat perujuk, mengelakkan penggunaan semula cache dan mengikuti ubah hala. Nama hos yang ditunjukkan sebelum ini menerangkan URL yang pertama, bukan setiap pelayan yang mungkin melibatkan rantai ubah hala. Teks yang boleh dilihat memberi pengguna peluang untuk melihat domain yang serupa, subdomain yang tidak dijangka atau nama yang kelihatan dalaman sebelum mana-mana pelayan jauh menerima alamat tersebut.
Entri pendaftaran: merekodkan bahawa alat menggunakan rangkaian — bagaimana ToolAcre menyenaraikan dua alat menggunakan rangkaian dan perkara yang masing-masing berkata tentang hosnya
Pendaftaran produk menandakan pemprosesan tempatan palsu dan rangkaian selepas dimuatkan sebagai benar. Manifesnya menyatakan bahawa setiap permintaan dinyatakan sebelum ia dibuat, tiada akaun diperlukan dan pengiklanan serta analitis dilumpuhkan untuk produk ini. Rekod tersebut menghalang lencana tempatan sahaja daripada digunakan semula di sini.
Dokumentasi ToolAcre yang lebih luas mengenal pasti dua produk yang fungsi terasnya menghubungi hos luaran: pemuat turun ini dan penonton YouTube. Bentuk trafik mereka berbeza. Alat media menghubungi hos awam yang dipilih pelawat; kenalan alat YouTube menamakan titik akhir Google selepas tindakan eksplisitnya sendiri. Pengecualian peringkat pendaftaran ini penting kerana kebanyakan alat ToolAcre lain mengubah fail setempat yang dipilih dan akan menggunakan bahasa privasi yang berbeza.
Contoh berfungsi: memadankan setiap tindakan eksplisit dengan permintaan yang dibuatnya
Kosongkan panel Rangkaian, tampal pautan fail HTTPS yang sah dan perhatikan tiada baris media baharu. Tekan pautan Semak sekali: percubaan HEAD akan muncul. Selepas pengesahan hak, tekan Muat turun sekali: a GET mengikuti, dan bongkah badannya memacu paparan kemajuan sebelum keputusan ditawarkan untuk disimpan.
Memanggil urutan itu sebagai "permintaan tunggal" akan memadamkan probe pilihan. Satu tindakan muat turun menghasilkan satu GET, manakala menggunakan kedua-dua kawalan menghasilkan HEAD dan GET. Navigasi halaman juga boleh memuatkan aset pihak pertama. Tapis mengikut nama hos yang dibekalkan semasa mengaudit tingkah laku khusus destinasi alat. Pembatalan boleh menambah baris yang ditamatkan dan ubah hala boleh menambah lompatan, jadi kira tindakan dan rantaian daripada menegaskan jumlah invarian daripada satu sampel yang tidak rumit.
Dasar produk dan kawalan pelayar yang ditambahkan pada laluan permintaan yang boleh diperhatikan
Dasar keselamatan yang dijana halaman mengekang destinasi sambungan yang dibenarkan dan produk tidak mengandungi kod proksi atau pemuat turun pihak ketiga SDK. Lebih penting lagi, pelaksanaan permintaan itu sendiri boleh dibaca: Ambil menerima URL yang dihuraikan secara langsung, bukan titik akhir ToolAcre yang membungkusnya sebagai parameter pertanyaan.
Dasar adalah pertahanan secara mendalam dan bukannya bukti bahawa tiada permintaan boleh berlaku. Sambungan pelayar, alat pembangun, pekerja perkhidmatan atau konfigurasi tapak masa hadapan adalah pertimbangan yang berasingan. Bukti yang boleh diulang ialah sumber yang dihantar serta kesan yang diperhatikan dalam persekitaran yang diluluskan. Semakan sumber juga mengesahkan bahawa permintaan ditetapkan `credentials: omit` dan `referrerPolicy: no-referrer`; a CSP tidak boleh dengan sendirinya menetapkan sama ada pilihan peringkat aplikasi.
Perkara ini tidak meliputi — pengumuman menerangkan permintaan alat, bukan perkara yang dilakukan oleh hos jauh dengannya atau ke mana ubah hala membawa
Pengumuman tidak menerangkan perkara yang dilog hos jauh. Pelayan itu melihat permintaan daripada pelayar dan mungkin menggunakan dasar pengekalannya sendiri. Ia boleh mengubah hala ke asal lain dan pelayar mengikuti ubah hala untuk kedua-dua HEAD dan GET melainkan kegagalan mengganggu laluan.
Nama hos awal juga tidak memperakui fail, hak ke atasnya atau destinasi akhir. Panel Rangkaian mendedahkan ubah hala selepas kenalan. Penyemak yang berhati-hati boleh mengekalkan log, mengembangkan rantaian dan berhenti jika hos di luar infrastruktur penghantaran yang dijangkakan muncul. Untuk kerja sensitiviti tinggi, elakkan destinasi yang dipendekkan dan minta pengirim untuk hos penghantaran berkanun supaya maklumat pra-hubungi lebih bermakna.
Bawa pulang: ketelusan yang anda boleh semak, bukan sahaja membaca — bagaimana pesanan Penguat Media Langsung yang diumumkan kemudian diambil menjadikan janjinya boleh disahkan
Ketelusan boleh diuji di sini kerana setiap peringkat mempunyai artifak yang berbeza: keputusan tempatan sebelum trafik, baris HEAD selepas Semak pautan, baris GET selepas Muat Turun, pengepala respons apabila CORS membenarkannya dan bait terkumpul semasa badan tiba. Perenggan dasar sahaja tidak boleh memberikan urutan itu.
Gunakan pengumuman sebagai titik jeda, bukan sebagai meterai kelulusan. Sahkan hos, sahkan kebenaran anda dan periksa ubah hala apabila asal penting. Direct Media Downloader mengecilkan janjinya kepada trafik yang dimulakan dan membiarkan dasar pembalakan dan destinasi jauh kelihatan sebagai sempadan luaran. Tangkapan skrin baris status serta HAR yang dieksport memberikan bukti pelengkap kepada pengulas tentang perkara yang diumumkan dan perkara yang dicuba oleh pelayar kemudiannya.