Video và phụ đề · Direct Media Downloader
Hãy tự mình xác minh: bảng điều khiển mạng hiển thị gì trong quá trình tải xuống trực tiếp
· Tại sao nó quan trọng
quyền riêng tư developer-workflow http
ToolAcre mời bạn xác minh các xác nhận quyền sở hữu của mình trong bảng điều khiển mạng của trình duyệt thay vì tin tưởng chúng. Bài đăng này hiển thị chính xác những gì cần mở, những gì mong đợi trong quá trình tải xuống trực tiếp và những gì sẽ là cờ đỏ.
Hãy tin tưởng nhưng hãy mở các công cụ dành cho nhà phát triển — tại sao một tuyên bố có thể kiểm chứng lại đánh bại chính sách quyền riêng tư
Chính sách quyền riêng tư mô tả ý định; bảng điều khiển Mạng ghi lại những gì một trình duyệt thực sự yêu cầu. Đối với trình tải xuống được nối mạng, cả hai đều cần thiết vì lời hứa chính xác bao gồm liên hệ với máy chủ phương tiện đã chọn.
Câu hỏi kiểm tra được sắp xếp theo từng giai đoạn: nội dung nào tải trên trang, trình kích hoạt nhập nào, trình kích hoạt Kiểm tra liên kết nào và trình kích hoạt Tải xuống nào. Việc trộn lẫn các giai đoạn đó sẽ tạo ra các tổng sai lệch và che giấu mối quan hệ nhân quả. Bắt đầu với một máy chủ vô hại mà bạn kiểm soát hoặc một đối tượng thử nghiệm công khai mà bạn được phép tìm nạp; quá trình kiểm tra không được tiết lộ các URL bí mật chỉ để kiểm tra quyền riêng tư. Bắt đầu bằng URL được kiểm soát lành tính để hành động xác minh tiết lộ không tự làm lộ địa chỉ khách hàng bí mật.
Mở bảng điều khiển mạng và xóa nó - quá trình thiết lập kéo dài hai phút trong bất kỳ trình duyệt chính nào
Mở công cụ dành cho nhà phát triển, chọn Mạng, xóa các hàng hiện có và bật Lưu giữ nhật ký nếu chuyển hướng quan trọng. Chỉ tắt bộ nhớ đệm nếu giao thức xem xét yêu cầu, vì cài đặt đó sẽ thay đổi những yêu cầu mà trình duyệt quan sát được.
Ghi lại phiên bản trình duyệt, tiện ích mở rộng, trạng thái đồng ý và môi trường xây dựng. Tiện ích mở rộng có thể tăng lưu lượng truy cập, sản xuất có thể tải các dịch vụ đã định cấu hình và chế độ cục bộ hoặc chế độ xem trước khác nhau. Một dấu vết có thể tái tạo cần những điều kiện đó. Việc đặt lại giữa các giai đoạn làm cho sự vắng mặt trở nên có ý nghĩa: nếu không có hàng nào xuất hiện sau khi nhập, thì bảng tương tự phải được biết để ghi lại các hàng sau hành động rõ ràng. Chọn bộ lọc Tất cả ban đầu; việc thu hẹp quá sớm có thể ẩn các chuyển hướng, xem trước hoặc yêu cầu tài liệu liên quan đến đánh giá.
Đang tải trang: tách biệt nội dung ban đầu và dịch vụ trang web được định cấu hình khỏi tác vụ truyền thông
Yêu cầu trang ban đầu bao gồm tài liệu và nội dung của bên thứ nhất. Bản kê khai sản phẩm vô hiệu hóa quảng cáo và số liệu phân tích của chính nó, nhưng tuyên bố trên toàn trang web về mọi môi trường phải tuân theo cấu hình bản dựng đang hoạt động thay vì giả định của bài viết.
Đợi quá trình tải ban đầu ổn định, sau đó xóa bảng điều khiển trước khi kiểm tra hoạt động của phương tiện. Điều này sẽ tách biệt đầu vào URL và ngăn yêu cầu biểu định kiểu hoặc mô-đun khỏi bị nhầm lẫn với rơle mang địa chỉ được dán. Chính sách bảo mật nội dung có thể hạn chế các kết nối nhưng việc theo dõi trực tiếp vẫn cần thiết vì cấu hình chính sách và mục đích ứng dụng trả lời các câu hỏi khác nhau. Ghi lại đường cơ sở này trước khi xóa các hàng vì nó ghi lại môi trường tách biệt với dấu vết tác vụ đa phương tiện sau này.
Ví dụ đã hoạt động: các hành động rõ ràng và các yêu cầu mà mỗi người tạo ra
Dán liên kết HTTPS an toàn và quan sát rằng không có hàng máy chủ phương tiện nào xuất hiện. Nhấn liên kết Kiểm tra để tạo một lần thử HEAD. Chọn xác nhận quyền và nhấn Tải xuống để tạo GET; do đó việc sử dụng cả hai hành động sẽ mang lại hai yêu cầu đích chứ không phải một.
Lọc theo tên máy chủ được phân tích cú pháp và kiểm tra các trình khởi tạo chuyển hướng. ToolAcre không có điểm cuối proxy nào chứa đích làm tham số. Nội dung phản hồi GET thúc đẩy tiến trình và chỉ trở thành Blob sau khi các đoạn có thể đọc được xuất hiện. Khi kiểm tra liên kết Tải xuống mà không kiểm tra, chỉ mong đợi hành động truyền thông GET; trình tự thay thế này xác minh rằng đầu dò là tùy chọn thay vì bắt buộc bí mật. Kiểm tra Kiểm tra và Tải xuống độc lập, chứng minh rằng đầu dò tùy chọn không phải là điều kiện tiên quyết được che giấu để nhận tệp.
Đọc yêu cầu: phương thức, tiêu đề và kích thước - những gì trình duyệt đã gửi và những gì nó giữ lại
Kiểm tra phương thức, yêu cầu URL, chuỗi chuyển hướng, trạng thái, Loại nội dung, Độ dài nội dung và thời gian. Nguồn định cấu hình thông tin xác thực bị bỏ qua, không có liên kết giới thiệu, không lưu trữ và chuyển hướng theo sau, trong khi trình duyệt kiểm soát các tiêu đề khác như Origin.
Việc thiếu tiêu đề cookie sẽ hỗ trợ thiết kế không có thông tin xác thực cho lần chạy đó. Nó không tiết lộ những gì nhật ký đích. Việc thiếu các tiêu đề có thể đọc được có thể là do chính sách CORS, trong khi trạng thái HTTP hoặc lỗi truyền tải lại cung cấp một dấu hiệu lỗi khác. Việc xuất HAR có thể giữ lại các truy vấn nhạy cảm đã được ký, vì vậy, hãy biên tập lại hoặc bảo vệ cấu phần phần mềm dưới cùng các biện pháp kiểm soát như liên kết ban đầu trước khi chia sẻ nó. HAR có thể chứa các bí mật truy vấn đã được ký, do đó hãy lưu trữ và biên tập lại bằng chứng đã xuất dưới các biện pháp kiểm soát phù hợp với địa chỉ ban đầu.
Cờ đỏ trên các trang web khác — đèn hiệu, pixel theo dõi và cuộc gọi đến máy chủ của chính trang web đó mang theo liên kết của bạn
Cờ đỏ trên một dịch vụ khác bao gồm gửi đích trong khi nhập, ĐĂNG đích đến điểm cuối không giải thích được, tải trình theo dõi của bên thứ ba xung quanh biểu mẫu hoặc chuyển tiếp phương tiện qua máy chủ của chính trang web mà không tiết lộ.
Trình theo dõi không chỉ được chứng minh bằng tên máy chủ lạ; phân loại yêu cầu từ phản hồi, tài liệu của người khởi tạo và nhà cung cấp. Tương tự như vậy, cơ sở hạ tầng phân phối của bên thứ nhất không tự động vô hại. Bằng chứng có trước nhãn hiệu. So sánh các ngăn xếp khởi tạo cũng: chúng tiết lộ liệu yêu cầu đến từ mô-đun trình tải xuống, tiện ích mở rộng, dịch vụ trang hay thành phần trình duyệt khác. Thông tin chi tiết về trình khởi tạo giúp tách biệt mã ứng dụng khỏi việc chèn tiện ích mở rộng, dịch vụ trình duyệt, thành phần chấp thuận hoặc mô-đun trang không liên quan.
Điều này không bao gồm những gì - bảng điều khiển mạng hiển thị các yêu cầu của trình duyệt của bạn chứ không phải những gì máy chủ từ xa ghi lại ở bên cạnh
DevTools xem lưu lượng truy cập của trình duyệt chứ không phải xử lý nội bộ tại máy chủ nguồn. Nó không thể chứng minh việc xóa, lưu giữ, truy cập của nhân viên từ xa hoặc mọi cuộc gọi từ máy chủ đến máy chủ đằng sau CDN. Nó cũng không thể thiết lập ủy quyền hợp pháp cho các phương tiện truyền thông.
Dấu vết sạch sẽ không quét tệp đã tải xuống để tìm phần mềm độc hại. Bảng điều khiển trả lời các câu hỏi định tuyến và yêu cầu. An toàn nội dung, giấy phép và quản trị điểm cuối cần có bằng chứng và biện pháp kiểm soát riêng. Đánh giá từ xa có thể yêu cầu nhật ký và hợp đồng của nhà cung cấp; việc chụp trình duyệt phải được mô tả dưới dạng bằng chứng của một điểm cuối chứ không phải là dấu vết phân tán hoàn chỉnh. Nhật ký nhà cung cấp, hợp đồng và báo cáo lưu giữ là bắt buộc khi câu hỏi đánh giá vượt ra ngoài điểm cuối của trình duyệt.
Takeaway: một trình tự có thể kiểm tra, không phải là một yêu cầu chung cho một yêu cầu
Trình tự dự kiến là gõ yên lặng, tùy chọn HEAD sau khi kiểm tra liên kết, GET sau khi tải xuống, chuyển hướng theo sau và không có ToolAcre chuyển tiếp phương tiện. Điều này đủ chính xác để kiểm tra mà không cần khẳng định trang này không có lưu lượng truy cập nào khác.
Lưu dấu vết khi phê duyệt quan trọng và lặp lại sau những thay đổi triển khai có liên quan. Direct Media Downloader mời kiểm tra vì kiến trúc của nó tạo ra các ranh giới có thể quan sát được thay vì yêu cầu sự tin cậy vào một chương trình phụ trợ ẩn. Đánh giá lặp lại có thể chạy lại các giai đoạn này sau khi thay đổi mã hoặc chính sách và phát hiện các hồi quy mà không cần dựa vào ngôn ngữ tiếp thị hoặc ảnh chụp màn hình đã ghi nhớ.