วิดีโอและคำบรรยาย · ตัวดาวน์โหลดสื่อโดยตรง
สิ่งที่ 'URL ถูกตรวจสอบก่อนที่จะมีการติดต่อ' หมายถึงอะไร
· มันทำงานอย่างไร
URL ความเป็นส่วนตัว ความปลอดภัย
อธิบายการตรวจสอบที่เบราว์เซอร์สามารถรันบนลิงก์ที่วางโดยไม่ต้องส่งแพ็คเก็ตเดียว และเหตุใด Direct Media Downloader จึงรันเบราว์เซอร์ก่อนที่จะประกาศโฮสต์ที่กำลังจะติดต่อ
การวางลิงก์ไม่เหมือนกับการเปิดลิงก์ — ความแตกต่างระหว่างการอ่านสตริงและการร้องขอ
การวางข้อความลงในช่องไม่เปิดขึ้นมา Listener อินพุตจะตัดแต่งและแยกวิเคราะห์อักขระ อัปเดตบรรทัดวิธีใช้ และเปิดใช้งานหรือปิดใช้งานการควบคุมโดยไม่ต้องเรียก Fetch, DNS หรือจุดสิ้นสุด ToolAcre ใดๆ ดังนั้น URL จึงสามารถตรวจสอบได้ในขณะที่แผงเครือข่ายยังคงไม่เปลี่ยนแปลง
ความแตกต่างดังกล่าวถือเป็นขอบเขตความเป็นส่วนตัวประการแรก หน้าเว็บอาจกล่าวได้ว่าสตริงสามารถใช้งานได้ในเชิงโครงสร้างก่อนที่จะเปิดเผยต่อโฮสต์ที่ระบุชื่อ คำขอจะเริ่มต้นหลังจากตรวจสอบลิงก์หรือดาวน์โหลดอย่างชัดเจนเท่านั้น และการดำเนินการเหล่านั้นมีวิธีการและผลลัพธ์ HTTP ที่แตกต่างกัน เนื่องจากยังไม่มีข้อเท็จจริงระยะไกล ผู้ตรวจสอบจึงสามารถสร้างขั้นตอนนี้ด้วยการทดสอบแบบออฟไลน์ และยืนยันว่าผลลัพธ์ที่ยอมรับหรือปฏิเสธทั้งหมดขึ้นอยู่กับอักขระที่ให้มาเท่านั้น
แยกวิเคราะห์ด้วย URL API: แบบแผน โฮสต์ เส้นทาง และการสืบค้น — สิ่งที่เบราว์เซอร์สามารถบอกได้เกี่ยวกับลิงก์แบบออฟไลน์
ตัวสร้าง URL แยกโปรโตคอล ข้อมูลประจำตัว ชื่อโฮสต์ พอร์ต เส้นทาง แบบสอบถาม และส่วนย่อยบนอุปกรณ์ ToolAcre จากนั้นทำให้ชื่อโฮสต์เป็นมาตรฐานสำหรับการเปรียบเทียบ รวมถึงตัวพิมพ์เล็กและจุดต่อท้าย นี่เป็นงานไวยากรณ์บนสตริง ไม่ใช่หลักฐานว่ามีปลายทางหรือคำตอบ
เครื่องหมายคำพูดหรือวงเล็บเหลี่ยมที่วางแล้วสามารถลบออกได้ ชื่อโฮสต์สาธารณะที่ไม่มีรูปแบบสามารถรับ HTTPS และพารามิเตอร์การวิเคราะห์ที่รู้จักสามารถละทิ้งได้ พารามิเตอร์ที่เซ็นชื่อ เช่น โทเค็น ค่าหมดอายุ ลายเซ็น และฟิลด์ X-Amz จะถูกเก็บรักษาไว้อย่างจงใจ เนื่องจากการเปลี่ยนแปลงอาจทำให้การอนุญาตเปลี่ยนแปลงหรือทำให้ลิงก์ล้มเหลวได้ พอร์ตยังคงเป็นส่วนหนึ่งของที่อยู่ที่แยกวิเคราะห์แม้ว่าการประกาศจะใช้ชื่อโฮสต์ ดังนั้นพอร์ตที่ชัดเจนผิดปกติจึงควรได้รับการตรวจสอบใน URL ที่ทำให้เป็นมาตรฐานอย่างสมบูรณ์
การปฏิเสธปลายทางที่ไม่ปลอดภัย โดยไม่คาดเดาว่า URL สาธารณะเป็นไฟล์หรือไม่
เครื่องมือตรวจสอบที่จัดส่งจะไม่ปฏิเสธหน้าสำหรับดูสาธารณะเพียงเพราะเส้นทางไม่มีส่วนขยายสื่อ แต่จะปฏิเสธอินพุตว่างหรือผิดรูปแบบแทน ทุกสคีม ยกเว้น HTTPS ชื่อผู้ใช้หรือรหัสผ่านที่ฝังไว้ ชื่อภายใน ช่วงที่อยู่ส่วนตัว ลูปแบ็ค ลิงก์โลคัล มัลติคาสต์ และการสะกด IPv4 และ IPv6 ที่ซับซ้อนหลายรายการ
คำตัดสินในท้องถิ่นที่ประสบความสำเร็จหมายถึง “ปลอดภัยเพียงพอสำหรับเครื่องมือเบราว์เซอร์นี้ในการติดต่อ” ไม่ใช่ “สื่อโดยตรงที่ได้รับการยืนยัน” การตรวจสอบ HEAD ในภายหลังอาจเปิดเผย HTML ผ่าน Content-Type และอินเทอร์เฟซจะเตือน การแยกการอ้างสิทธิ์เหล่านั้นออกจากกันจะป้องกันไม่ให้เส้นทางที่เป็นไปได้ที่ลงท้ายด้วย .mp4 ไม่ถูกถือว่าเป็นการพิสูจน์ไบต์ การจัดลำดับนี้ยังช่วยหลีกเลี่ยงการรักษารายการส่วนขยายที่อนุญาตซึ่งจะปฏิเสธเส้นทางออบเจ็กต์ที่ไม่มีส่วนขยายที่ถูกต้องตามกฎหมาย ขณะเดียวกันก็ยอมรับเส้นทางที่ทำให้เข้าใจผิดที่ตกแต่งด้วยคำต่อท้ายที่คุ้นเคย
การแสดงโฮสต์ก่อนที่จะติดต่อ - วิธีการที่โฮสต์ที่ประกาศได้มาจากการแยกวิเคราะห์ URL ไม่ใช่จากการตอบกลับ
สำหรับที่อยู่ที่ยอมรับ สายช่วยเหลือจะตั้งชื่อชื่อโฮสต์มาตรฐานและแจ้งว่ายังไม่มีการติดต่อใดๆ โฮสต์นั้นมาจากการแยกวิเคราะห์ URL ที่จัดทำโดยผู้เยี่ยมชม มันไม่ได้เรียนรู้จากการตอบกลับ การค้นหา การเปลี่ยนเส้นทาง โปรแกรมเล่นแบบฝัง หรือการขูดหน้า
การแสดงตัวอย่างนี้ยังทำให้ข้อมูลประจำตัวปลอมปรากฏเป็นการปฏิเสธ แทนที่จะเชื่อถือข้อความก่อนเครื่องหมาย at-sign ประกาศครอบคลุมถึงจุดหมายปลายทางเริ่มต้นเท่านั้น หากเซิร์ฟเวอร์นั้นเปลี่ยนเส้นทางคำขอในภายหลัง จำเป็นต้องใช้เครื่องมือสำหรับนักพัฒนาเบราว์เซอร์เพื่อดูที่อยู่สุดท้ายและทุก ๆ การกระโดดที่เข้ามาแทรกแซง ที่อยู่มาตรฐานแบบเต็มยังคงมองเห็นได้ในช่อง ช่วยให้ผู้เยี่ยมชมสามารถเปรียบเทียบรูปแบบ พอร์ต เส้นทาง และเนื้อหาการสืบค้นที่ละเอียดอ่อน ก่อนที่จะเลือกว่าผู้ติดต่อนั้นเหมาะสมหรือไม่
ตัวอย่างการทำงาน: สามสตริงที่วางและขีดจำกัดของแต่ละคำตัดสิน
ลองพิจารณา `https://media.example/clip.mp4`, `example.com` และหน้าสำหรับดูสาธารณะ URL รายการแรกผ่านการตรวจสอบความปลอดภัยและชื่อ media.example โดเมนเปล่าได้รับการทำให้เป็นมาตรฐานเป็น HTTPS และยังสามารถส่งผ่านได้ ในขณะที่ที่อยู่ของหน้าอาจยังคงเป็นที่ยอมรับในเชิงโครงสร้างเนื่องจากความหมายของเส้นทางไม่ได้ถูกอนุมานในเครื่อง
ผลลัพธ์ที่สามนั้นแก้ไขการอ้างสิทธิ์ที่น่าดึงดูดในช่วงสรุป: URL การแยกวิเคราะห์ไม่สามารถพิสูจน์ได้ว่าเพจนั้นเป็นไฟล์ การกดลิงก์ตรวจสอบจะส่งคำขอ HEAD ที่ไม่มีข้อมูลประจำตัว การตอบสนอง `text/html` จะทำให้เกิดคำเตือน "อาจไม่ใช่สื่อ" แม้แต่ `video/mp4` ก็ยังคงเป็นคำสั่งของเซิร์ฟเวอร์มากกว่าการตรวจสอบเนื้อหา ดังนั้นสาธารณสมบัติเปล่าจึงไม่ได้รับการรับรองอย่างเป็นเท็จว่าเป็นสื่อ และหน้าแพลตฟอร์มจะไม่โฆษณาว่าถูกปฏิเสธจนกว่าหลักฐานระยะไกลจะสนับสนุนข้อสรุปที่แคบกว่านั้นจริงๆ
เหตุใดจึงไม่มีการค้นหา DNS หรือ preflight เกิดขึ้นระหว่างการตรวจสอบ — การตรวจสอบจะทำงานบนสตริงเพียงอย่างเดียว เครือข่ายจะไม่ถูกแตะต้องจนกว่าจะมีการประกาศและทำการดึงข้อมูล
ไม่มีการสืบค้น DNS, CORS preflight, HEAD, GET หรือการเรียกพร็อกซีเป็นของ `validateMediaUrl` การใช้งานนั้นบริสุทธิ์และอ่านว่าไม่มี DOM หรือเครือข่ายทั่วโลก ซึ่งช่วยให้สามารถทดสอบที่อยู่ส่วนตัวและกรณีโครงการได้อย่างละเอียดถี่ถ้วน โดยไม่สร้างการรับส่งข้อมูลไปยังสตริงที่ใช้เป็นส่วนควบ
ขอบเขตจะเคลื่อนที่เมื่อผู้เยี่ยมชมกดปุ่มเครือข่าย ตรวจสอบลิงก์ส่ง HEAD โดยมีการเปลี่ยนเส้นทางติดตาม ปิดใช้งานแคช ละเว้นข้อมูลประจำตัว และผู้อ้างอิงถูกระงับ การดาวน์โหลดจะส่ง GET ที่กำหนดค่าไว้คล้ายกัน โฮสต์สามารถล้มเหลวผ่านข้อกำหนด CORS การขนส่ง สถานะ HTTP การหมดอายุ หรือการตรวจสอบสิทธิ์ การแยกนี้ทำให้การทดสอบความปลอดภัยพิสูจน์ว่า "การพิมพ์เงียบ" เป็นอิสระจากการทดสอบเครือข่ายที่ใช้ HEAD, GET การเปลี่ยนเส้นทาง ส่วนหัวการตอบกลับ และการยกเลิก
สิ่งนี้ไม่ครอบคลุมถึง — การตรวจสอบไม่สามารถรู้ได้ว่ามีไฟล์อยู่หรือไม่ คุณได้รับอนุญาตให้ดึงข้อมูลได้หรือไม่ หรือเซิร์ฟเวอร์จะเปลี่ยนเส้นทางหรือไม่
การตรวจสอบภายในเครื่องไม่สามารถระบุการมีอยู่ ความเป็นเจ้าของ ใบอนุญาต ประเภทการตอบสนอง ขนาดไฟล์ ลักษณะการทำงานของเซิร์ฟเวอร์ หรือปลายทางการเปลี่ยนเส้นทาง นอกจากนี้ยังไม่ได้แก้ไขชื่อโฮสต์ก่อนและเปรียบเทียบที่อยู่ที่ส่งคืนทุกรายการ การตรวจสอบโฮสต์ส่วนตัวของเครื่องมือเป็นการป้องกันในเชิงลึก ไม่ใช่การรับประกันเกี่ยวกับคำตอบ DNS ในอนาคต
การอนุญาตยังคงเป็นความรับผิดชอบของผู้เข้าชม ช่องทำเครื่องหมายจะบันทึกข้อความว่าสื่อเป็นเจ้าของหรือได้รับอนุญาต มันไม่ใช่การตรวจสอบทางกฎหมาย ลิงก์ที่อยู่เบื้องหลังการเข้าสู่ระบบยังคงไม่สามารถเข้าถึงได้เนื่องจากคำขอละเว้นคุกกี้และข้อมูลรับรอง และไม่มีผลการตรวจสอบใดที่จะปลดล็อก DRM เพย์วอลล์ หรือการควบคุมการเข้าถึงอื่น ๆ เมื่อชื่อโฮสต์สามารถแก้ไขได้ในภายหลัง การกำกับดูแลปลายทางจะเป็นของผู้ให้บริการโฮสต์และสแต็กเครือข่ายเบราว์เซอร์ รวมถึงหน้าจอวากยสัมพันธ์และที่อยู่ตามตัวอักษรเริ่มต้นนี้
ประเด็นสำคัญ: ตรวจสอบก่อน ประกาศ แล้วดึงข้อมูล — ลำดับนี้เป็นสิ่งที่ช่วยให้คุณเชื่อถือสัญญาเครือข่ายของเครื่องมือได้อย่างไร
ลำดับที่เชื่อถือได้คือแยกวิเคราะห์ ใช้นโยบายความปลอดภัย แสดงโฮสต์เริ่มต้น และรอ เฉพาะการกดปุ่มโดยเจตนาเท่านั้นที่ทำให้เกิดการรับส่งข้อมูล ซึ่งจะทำให้สามารถสังเกตเฟสเงียบได้: ล้าง DevTools พิมพ์สตริงหลายๆ รายการ และยืนยันว่ารายการคำขอยังคงว่างเปล่าในขณะที่คำตัดสินเปลี่ยนแปลง
ใช้ Direct Media Downloader สำหรับที่อยู่ไฟล์ HTTPS โดยตรงที่ได้รับอนุญาต จากนั้นให้ถือว่าลิงก์ Check เป็นการตรวจสอบระยะไกลแยกต่างหาก แทนที่จะเป็นส่วนขยายของการแยกวิเคราะห์ การออกแบบได้รับความไว้วางใจโดยการแนบการอ้างสิทธิ์แบบแคบๆ ในแต่ละขั้นตอน แทนที่จะทำเป็นว่าข้อความสีเขียวหนึ่งข้อความได้ตรวจสอบอินเทอร์เน็ตแล้ว ห่วงโซ่หลักฐานนั้นจงใจเจียมเนื้อเจียมตัว: พิสูจน์คำสั่งและประกาศการควบคุมโดยไม่อ้างว่าการแยกวิเคราะห์ในเครื่องสามารถทำนายระบบระยะไกลหรืออนุญาตเนื้อหาได้