Công cụ dành cho nhà phát triển · So sánh văn bản
Cách xác minh Công cụ phân biệt trình duyệt không bao giờ tải văn bản của bạn lên: Hướng dẫn DevTools
· Cách thức hoạt động
text-diff quyền riêng tư browser-processing
Hướng dẫn từng bước về cách sử dụng bảng điều khiển mạng của trình duyệt để xác nhận rằng phép so sánh chạy cục bộ, cộng với những thông tin mà Chính sách bảo mật nội dung nghiêm ngặt cho bạn biết về trang.
'Chạy trong trình duyệt của bạn' là tuyên bố bạn có thể kiểm tra - nêu rõ vấn đề: các trang quyền riêng tư là lời hứa, yêu cầu mạng là sự thật
“Chạy trong trình duyệt của bạn” phải được kiểm tra ở ranh giới hữu ích hẹp nhất. Đối với khác biệt Văn bản, kho lưu trữ hiển thị các giá trị của trình soạn thảo được truyền trực tiếp tới `diffLines`, các hàng được kết xuất thành các nút DOM và đầu ra tùy chọn được chuyển cho trình trợ giúp tải xuống cục bộ. Không có sự so sánh nào API nằm trong chuỗi đó.
Nguồn tĩnh là một dạng bằng chứng, không phải là sự đảm bảo về mọi thành phần trang được triển khai. Ghép nối nó với quan sát thời gian chạy bằng văn bản đánh dấu vô hại. Sự kết hợp đó hỗ trợ xác nhận chính xác về hành động bạn đã thực hiện mà không giả vờ kiểm tra các tiện ích mở rộng của trình duyệt, bảng nhớ tạm của hệ điều hành hoặc các bản phát hành trong tương lai.
Mở bảng mạng trước khi dán - hiển thị cách mở DevTools, xóa danh sách yêu cầu và ghi lại danh sách đó
Mở công cụ dành cho nhà phát triển trước khi nhập tài liệu nhạy cảm. Chọn Mạng, xóa các yêu cầu tải trang trước đó, chỉ lưu giữ nhật ký nếu cần và tiếp tục ghi. Sử dụng điểm đánh dấu đặc biệt nhưng không bí mật ở mỗi bên để bạn có thể tìm kiếm URL, tiêu đề và nội dung yêu cầu mà không để lộ nội dung thực.
Nội dung thời gian tải không phải là bằng chứng cho thấy văn bản so sánh đã được truyền đi. Quan sát hữu ích là liệu việc nhấp vào So sánh, chuyển đổi tùy chọn, hoán đổi bên hay tải xuống có tạo ra yêu cầu chứa điểm đánh dấu hay không. Ghi lại phiên bản trang và trình duyệt để người đánh giá khác hiểu được phạm vi kiểm tra.
Đọc các yêu cầu trong quá trình so sánh — giải thích những gì sẽ xuất hiện (không có gì mới) và những gì sẽ là cờ đỏ: POST yêu cầu, đèn hiệu, máy chủ của bên thứ ba
Trong khi so sánh, `diff.js` nhận được hai chuỗi và tùy chọn. Nó chuẩn hóa các kết thúc dòng, lấy các khóa dòng, xây dựng một bảng mảng được định kiểu giới hạn và trả về các hàng. Giao diện người dùng ánh xạ các hàng đó tới các thành phần bằng nội dung văn bản. Không có chức năng nào trong số đó gọi tìm nạp, XHR, WebSocket hoặc đèn hiệu.
Quá trình tải xuống đi theo một đường dẫn cục bộ khác: `toUnifiedText` tạo một chuỗi có tiêu đề và các hàng có tiền tố, sau đó `downloadText` tạo quá trình tải xuống trình duyệt. Xác minh người trợ giúp đó khi đưa ra yêu cầu hoàn chỉnh về việc lưu. Chỉ đọc thuật toán sẽ khiến hành động cuối cùng nằm ngoài chuỗi bằng chứng.
Tiêu đề Chính sách bảo mật nội dung tiết lộ điều gì - mô tả cách thức ToolAcrenghiêm ngặt CSP cấm các tập lệnh, phông chữ và thẻ bên ngoài cũng như cách đọc tiêu đề trong chế độ xem phản hồi
Đề cương yêu cầu đưa ra kết luận nghiêm ngặt về Chính sách bảo mật nội dung nhưng CSP là thuộc tính phản hồi và bằng chứng triển khai không có trong các tệp so sánh này. Kiểm tra phản hồi tài liệu thực tế trong Mạng khi CSP thuộc mô hình mối đe dọa của bạn và báo cáo chỉ thị chính xác như được quan sát.
Chính sách hạn chế có thể giảm một số loại tải bên ngoài, nhưng nó không thay thế việc theo dõi đối tượng địa lý. Ngược lại, việc không có chỉ thị mong muốn sẽ không chứng minh được văn bản So sánh bài đăng. Giữ việc kiểm tra chính sách và quan sát luồng dữ liệu như những phát hiện riêng biệt thay vì để cái này thay thế cho cái kia.
CSP bằng chứng thuộc về phản hồi được triển khai, không phải các tệp nguồn khác biệt về văn bản được xem xét ở đây
Để kiểm tra thành công, hãy nhập `left-marker-7319` và `right-marker-4826`, xóa Mạng, sau đó nhấp vào Tắt và bật So sánh với Bỏ qua chữ hoa chữ thường. Tìm kiếm chi tiết yêu cầu mới cho cả hai điểm đánh dấu. Đường dẫn kho lưu trữ dự kiến chỉ thực hiện công việc DOM, do đó bản thân hành động đó không yêu cầu yêu cầu xử lý văn bản.
Nếu một yêu cầu xuất hiện, hãy xác định người khởi tạo và tải trọng của nó trước khi kết luận rằng nội dung đã gửi khác. Một phần mở rộng hoặc tập lệnh trang không liên quan có thể tạo lưu lượng truy cập cùng một lúc. Kiểm tra điểm đánh dấu thu hẹp câu hỏi: liệu các giá trị đặc biệt đó có nhập vào yêu cầu đó hay không, chứ không phải liệu trình duyệt có đưa ra bất kỳ yêu cầu nào hay không.
Tại sao không có tài khoản và không có bộ nhớ là một phần của cùng một kiểm tra - bao gồm việc kiểm tra bộ nhớ của trình duyệt để xác nhận không có gì tồn tại giữa các lần truy cập
Giao diện người dùng lưu trữ `lastDiff` trong một biến cục bộ để bản vá Tải xuống có thể sử dụng kết quả mới nhất. Xóa làm trống cả hai trình soạn thảo, xóa đầu ra được hiển thị và đặt biến đó thành null. Đường dẫn được xem xét không chứa localStorage, IndexedDB hoặc lệnh gọi tài khoản để biết lịch sử so sánh.
Việc tìm kiếm nguồn đó hẹp hơn so với việc “không có gì tồn tại ở bất cứ đâu”. Khôi phục biểu mẫu trình duyệt, tiện ích mở rộng và văn bản được sao chép có hành vi riêng biệt. Kiểm tra bộ lưu trữ để tìm nguồn gốc hiện tại và tải lại bằng các điểm đánh dấu vô hại nếu vấn đề liên tục. Nêu chính xác những gì bạn quan sát được thay vì nâng cao một lần tìm kiếm mã thành một lời hứa về quyền riêng tư chung.
Công cụ này không đưa ra lệnh gọi liên tục nào; kiểm tra riêng bộ nhớ trình duyệt hiện tại trước khi xác nhận quyền sở hữu rộng rãi
Bài đánh giá này bao gồm các mô-đun khác biệt về văn bản của ToolAcre và trình trợ giúp tải xuống cục bộ được giao diện người dùng của nó sử dụng. Nó không chứng nhận mọi tập lệnh được tải khi triển khai, phần mềm trung gian mạng bên ngoài kho lưu trữ, các tiện ích mở rộng được chèn hoặc trình quản lý khay nhớ tạm. Những thành phần đó yêu cầu bằng chứng riêng của họ.
Thói quen vận hành an toàn nhất vẫn là giảm thiểu: chỉ dán các trường cần thiết để so sánh, sử dụng các thiết bị cố định đã được biên tập lại để xác minh và giữ tài liệu được quản lý chặt chẽ trong môi trường đã được phê duyệt. Việc triển khai phía trình duyệt sẽ loại bỏ một máy chủ xử lý khỏi đường dẫn; nó không loại bỏ mọi hệ thống xung quanh.
Các tiện ích mở rộng và trang được triển khai vẫn nằm ngoài bằng chứng đường dẫn so sánh tĩnh
Tuyên bố không tải lên đáng tin cậy nêu rõ phạm vi và ngày tháng của nó. Đánh giá nguồn chứng minh biểu đồ cuộc gọi so sánh thiếu hoạt động mạng; kiểm tra điểm đánh dấu sạch sẽ chứng minh điều gì đã xảy ra trong một phiên chạy. Cùng nhau, chúng mạnh hơn khẩu hiệu về quyền riêng tư và dễ lặp lại hơn sau khi phát hành.
Chạy kiểm tra trước khi dựa vào công cụ này cho công việc bí mật, sau đó chỉ so sánh tài liệu mà môi trường trình duyệt của bạn được phép lưu giữ. Bằng chứng phải đi kèm với kết luận: đường dẫn nguồn, yêu cầu được quan sát và bất kỳ lớp nào chưa được xem xét, không phải là sự đảm bảo tuyệt đối không được hỗ trợ bởi đường dẫn đầy đủ.