วิดีโอและคำบรรยาย · ตัวดาวน์โหลดสื่อโดยตรง
ตรวจสอบด้วยตัวคุณเอง: สิ่งที่แผงเครือข่ายแสดงระหว่างการดาวน์โหลดโดยตรง
· เหตุใดจึงสำคัญ
ความเป็นส่วนตัว นักพัฒนาเวิร์กโฟลว์ http
ToolAcre เชิญชวนให้คุณยืนยันการอ้างสิทธิ์ในแผงเครือข่ายของเบราว์เซอร์ แทนที่จะเชื่อถือ โพสต์นี้แสดงให้เห็นอย่างชัดเจนถึงสิ่งที่ควรเปิด สิ่งที่คาดหวังระหว่างการดาวน์โหลดโดยตรง และสิ่งที่จะเป็นธงสีแดง
เชื่อถือ แต่เปิดเครื่องมือสำหรับนักพัฒนา — เหตุใดการอ้างสิทธิ์ที่ตรวจสอบได้จึงดีกว่านโยบายความเป็นส่วนตัว
นโยบายความเป็นส่วนตัวอธิบายถึงเจตนา แผงเครือข่ายจะบันทึกสิ่งที่เบราว์เซอร์หนึ่งร้องขอจริง สำหรับตัวดาวน์โหลดแบบเครือข่าย จำเป็นต้องมีทั้งสองอย่างเนื่องจากสัญญาที่ถูกต้องรวมถึงการติดต่อกับโฮสต์สื่อที่เลือก
คำถามการตรวจสอบจะแบ่งเป็นขั้น: อะไรโหลดพร้อมกับเพจ ทริกเกอร์การพิมพ์อะไร ทริกเกอร์ลิงก์ตรวจสอบอะไร และทริกเกอร์การดาวน์โหลดอะไร การผสมขั้นตอนเหล่านั้นจะทำให้เกิดผลรวมที่ทำให้เข้าใจผิดและซ่อนสาเหตุไว้ เริ่มต้นด้วยโฮสต์ที่ไม่เป็นอันตรายที่คุณควบคุมหรือออบเจ็กต์ทดสอบสาธารณะที่คุณได้รับอนุญาตให้ดึงข้อมูล การตรวจสอบไม่ควรเปิดเผย URL ที่เป็นความลับเพียงเพื่อทดสอบความเป็นส่วนตัวเท่านั้น เริ่มต้นด้วย URL ที่มีการควบคุมอย่างอ่อนโยน ดังนั้น การตรวจสอบการเปิดเผยข้อมูลจะไม่เปิดเผยที่อยู่ของลูกค้าที่เป็นความลับ
การเปิดแผงเครือข่ายและล้างข้อมูล — การตั้งค่าสองนาทีในเบราว์เซอร์หลักๆ
เปิดเครื่องมือสำหรับนักพัฒนา เลือกเครือข่าย ล้างแถวที่มีอยู่ และเปิดใช้งานเก็บรักษาบันทึกหากการเปลี่ยนเส้นทางมีความสำคัญ ปิดการใช้งานแคชเฉพาะในกรณีที่จำเป็นต้องใช้โปรโตคอลการตรวจสอบ เนื่องจากการตั้งค่านั้นจะเปลี่ยนสิ่งที่เบราว์เซอร์ที่สังเกตร้องขอ
บันทึกเวอร์ชันเบราว์เซอร์ ส่วนขยาย สถานะความยินยอม และสภาพแวดล้อมบิลด์ ส่วนขยายสามารถแทรกการรับส่งข้อมูล การผลิตสามารถโหลดบริการที่กำหนดค่าไว้ได้ และโหมดภายในเครื่องหรือโหมดแสดงตัวอย่างจะแตกต่างกัน การติดตามที่ทำซ้ำได้จำเป็นต้องมีเงื่อนไขเหล่านั้น การรีเซ็ตระหว่างขั้นตอนทำให้การไม่มีความหมาย: หากไม่มีแถวปรากฏขึ้นหลังจากพิมพ์ แผงเดียวกันจะต้องทราบว่าจะบันทึกแถวหลังจากการดำเนินการที่ชัดเจน เลือกตัวกรองทั้งหมดตั้งแต่แรก การจำกัดให้แคบลงเร็วเกินไปสามารถซ่อนการเปลี่ยนเส้นทาง เที่ยวบินล่วงหน้า หรือคำขอเอกสารที่เกี่ยวข้องกับการตรวจสอบได้
กำลังโหลดหน้า: แยกสินทรัพย์เริ่มต้นและบริการไซต์ที่กำหนดค่าไว้จากการดำเนินการของสื่อ
คำขอหน้าแรกจะรวมเอกสารและเนื้อหาของบุคคลที่หนึ่ง รายการผลิตภัณฑ์ปิดการใช้งานการโฆษณาและการวิเคราะห์ของตัวเอง แต่ข้อความทั่วทั้งไซต์เกี่ยวกับทุกสภาพแวดล้อมจะต้องเป็นไปตามการกำหนดค่าบิลด์ที่ใช้งานอยู่มากกว่าสมมติฐานของบทความ
รอให้การโหลดครั้งแรกเสร็จสิ้น จากนั้นล้างแผงก่อนที่จะทดสอบลักษณะการทำงานของสื่อ สิ่งนี้จะแยกอินพุต URL และป้องกันไม่ให้สไตล์ชีตหรือคำขอโมดูลถูกเข้าใจผิดว่าเป็นรีเลย์ที่มีที่อยู่ที่วางไว้ นโยบายความปลอดภัยของเนื้อหาสามารถจำกัดการเชื่อมต่อได้ แต่การติดตามแบบสดยังคงจำเป็น เนื่องจากการกำหนดค่านโยบายและจุดประสงค์ของแอปพลิเคชันจะตอบคำถามที่แตกต่างกัน บันทึกข้อมูลพื้นฐานนี้ก่อนที่จะล้างแถว เนื่องจากจะบันทึกสภาพแวดล้อมแยกจากการติดตามการดำเนินการของสื่อในภายหลัง
ตัวอย่างการทำงาน: การกระทำที่ชัดเจนและคำขอที่แต่ละคนสร้างขึ้น
วางลิงก์ HTTPS ที่ปลอดภัย และสังเกตว่าไม่มีแถวโฮสต์สื่อปรากฏขึ้น กดตรวจสอบลิงก์เพื่อสร้างความพยายาม HEAD เลือกการยืนยันสิทธิ์แล้วกดดาวน์โหลดเพื่อสร้าง GET; ดังนั้นการใช้ทั้งสองการกระทำจะทำให้ได้รับคำขอปลายทาง 2 รายการ ไม่ใช่คำขอเดียว
กรองตามชื่อโฮสต์ที่แยกวิเคราะห์และตรวจสอบตัวเริ่มต้นการเปลี่ยนเส้นทาง ToolAcre ไม่มีปลายทางพร็อกซีที่มีปลายทางเป็นพารามิเตอร์ เนื้อหาการตอบสนอง GET ขับเคลื่อนความคืบหน้าและกลายเป็น Blob หลังจากที่ชิ้นส่วนที่อ่านได้มาถึงเท่านั้น เมื่อทดสอบลิงก์ดาวน์โหลดโดยไม่ตรวจสอบ คาดว่าจะมีเฉพาะการทำงานของสื่อ GET เท่านั้น ลำดับสำรองนี้ยืนยันว่าโพรบเป็นทางเลือกมากกว่าที่จำเป็นอย่างลับๆ ทดสอบตรวจสอบและดาวน์โหลดแยกจากกันเช่นกัน เพื่อพิสูจน์ว่าโพรบเสริมไม่ใช่ข้อกำหนดเบื้องต้นที่ปกปิดไว้สำหรับการรับไฟล์
การอ่านคำขอ: วิธีการ ส่วนหัว และขนาด — สิ่งที่เบราว์เซอร์ส่งและสิ่งที่ถูกระงับ
ตรวจสอบวิธีการ คำขอ URL สายการเปลี่ยนเส้นทาง สถานะ ประเภทเนื้อหา ความยาวเนื้อหา และเวลา แหล่งที่มากำหนดค่าละเว้นข้อมูลรับรอง ไม่มีผู้อ้างอิง ไม่มีร้านค้า และเปลี่ยนเส้นทางการติดตาม ในขณะที่เบราว์เซอร์ควบคุมส่วนหัวอื่นๆ เช่น Origin
การไม่มีส่วนหัวของคุกกี้รองรับการออกแบบที่ไม่มีข้อมูลรับรองสำหรับการเรียกใช้ครั้งนั้น ไม่เปิดเผยว่าบันทึกปลายทางคืออะไร การขาดส่วนหัวที่อ่านได้อาจเป็นผลมาจากนโยบาย CORS ในขณะที่สถานะ HTTP หรือข้อผิดพลาดในการขนส่งทำให้เกิดเส้นทางความล้มเหลวที่แตกต่างกัน การส่งออก HAR สามารถรักษาคำค้นหาที่เซ็นชื่อที่มีความละเอียดอ่อนได้ ดังนั้นให้แก้ไขหรือป้องกันส่วนต่างๆ ภายใต้การควบคุมเดียวกันกับลิงก์ต้นฉบับก่อนที่จะแชร์ A HAR อาจเป็นความลับในการสืบค้นที่มีการลงนาม ดังนั้นควรจัดเก็บและตรวจทานหลักฐานที่ส่งออกภายใต้การควบคุมที่เหมาะสมสำหรับที่อยู่เดิม
ธงแดงบนไซต์อื่น - บีคอน พิกเซลการติดตาม และการเรียกไปยังเซิร์ฟเวอร์ของไซต์ที่มีลิงก์ของคุณ
ธงแดงในบริการอื่น ได้แก่ การส่งปลายทางระหว่างการพิมพ์ การโพสต์ไปยังปลายทางที่ไม่สามารถอธิบายได้ การโหลดตัวติดตามบุคคลที่สามรอบๆ แบบฟอร์ม หรือการถ่ายทอดสื่อผ่านเซิร์ฟเวอร์ของไซต์เองโดยไม่มีการเปิดเผย
ตัวติดตามไม่ได้รับการพิสูจน์โดยชื่อโฮสต์ที่ไม่คุ้นเคยเท่านั้น จัดประเภทคำขอจากเอกสารตอบกลับ ผู้ริเริ่ม และผู้จำหน่าย ในทำนองเดียวกัน โครงสร้างพื้นฐานการจัดส่งของบุคคลที่หนึ่งก็ไม่เป็นอันตรายโดยอัตโนมัติ หลักฐานอยู่ข้างหน้าป้ายกำกับ เปรียบเทียบสแต็กของตัวเริ่มต้นด้วยเช่นกัน โดยเผยให้เห็นว่าคำขอมาจากโมดูลดาวน์โหลด ส่วนขยาย บริการเพจ หรือส่วนประกอบของเบราว์เซอร์อื่นหรือไม่ รายละเอียดตัวเริ่มต้นช่วยแยกโค้ดแอปพลิเคชันออกจากการแทรกส่วนขยาย บริการเบราว์เซอร์ ส่วนประกอบความยินยอม หรือโมดูลหน้าที่ไม่เกี่ยวข้อง
สิ่งนี้ไม่ครอบคลุม — แผงเครือข่ายจะแสดงคำขอของเบราว์เซอร์ของคุณ ไม่ใช่สิ่งที่โฮสต์ระยะไกลบันทึกด้านข้าง
DevTools เห็นการรับส่งข้อมูลของเบราว์เซอร์ ไม่ใช่การประมวลผลภายในที่โฮสต์ต้นทาง ไม่สามารถพิสูจน์การลบระยะไกล การเก็บรักษา การเข้าถึงของพนักงาน หรือการเรียกแบบเซิร์ฟเวอร์ถึงเซิร์ฟเวอร์ทุกครั้งหลัง CDN นอกจากนี้ยังไม่สามารถกำหนดอำนาจทางกฎหมายสำหรับสื่อได้
การติดตามที่สะอาดจะไม่สแกนไฟล์ที่ดาวน์โหลดเพื่อหามัลแวร์ คณะผู้ตอบแบบสอบถามและสอบถามเส้นทาง ความปลอดภัยของเนื้อหา ใบอนุญาต และการกำกับดูแลอุปกรณ์ปลายทางจำเป็นต้องมีหลักฐานและการควบคุมของตนเอง การตรวจสอบจากระยะไกลอาจต้องมีบันทึกและสัญญาของผู้ให้บริการ การจับเบราว์เซอร์ควรอธิบายว่าเป็นหลักฐานของจุดสิ้นสุดจุดเดียว ไม่ใช่การติดตามแบบกระจายโดยสมบูรณ์ จำเป็นต้องมีบันทึกของผู้ให้บริการ สัญญา และคำชี้แจงการเก็บรักษาเมื่อคำถามทบทวนขยายไปไกลกว่าจุดสิ้นสุดของเบราว์เซอร์
Takeaway: ลำดับที่ตรวจสอบได้ ไม่ใช่การอ้างสิทธิ์คำขอเดียวแบบสากล
ลำดับที่คาดหวังคือการพิมพ์แบบเงียบ เป็นทางเลือก HEAD หลังตรวจสอบลิงก์ GET หลังดาวน์โหลด ติดตามการเปลี่ยนเส้นทาง และไม่มีการถ่ายทอดสื่อ ToolAcre ซึ่งแม่นยำพอที่จะทดสอบโดยไม่อ้างว่าหน้าเว็บไม่มีการเข้าชมอื่นๆ
บันทึกการติดตามเมื่อการอนุมัติมีความสำคัญ และทำซ้ำหลังจากการเปลี่ยนแปลงการใช้งานที่เกี่ยวข้อง Direct Media Downloader เชิญชวนให้มีการตรวจสอบเนื่องจากสถาปัตยกรรมสร้างขอบเขตที่สังเกตได้ แทนที่จะต้องอาศัยความไว้วางใจในแบ็กเอนด์ที่ซ่อนอยู่ การตรวจสอบซ้ำสามารถเรียกใช้ขั้นตอนเหล่านี้อีกครั้งหลังจากการเปลี่ยนแปลงโค้ดหรือนโยบาย และตรวจจับการถดถอยโดยไม่ต้องอาศัยภาษาทางการตลาดหรือภาพหน้าจอที่จำได้