Video và phụ đề · Trình tải xuống hình thu nhỏ & Trình xem siêu dữ liệu của YouTube
Tại sao 'địa chỉ liên hệ i.ytimg.com và youtube.com' được nêu rõ trước khi bạn dán
· Tại sao nó quan trọng
youtube quyền riêng tư browser-devtools
Hầu hết các công cụ đều mô tả quyền riêng tư của họ trong trang chính sách; cái này đặt tên cho máy chủ của nó trên chính công cụ đó. Bài đăng này giải thích lý do tại sao việc đặt tên máy chủ lại quan trọng, cách nó phù hợp với thiết lập không phân tích của ToolAcre và cách giữ công cụ này đúng như lời hứa.
Lời hứa mạng chỉ trong một dòng — tại sao 'danh bạ i.ytimg.com và youtube.com' lại bất thường
Việc đặt tên i.ytimg.com và www.youtube.com trước khi Tìm nạp mang lại cho người đánh giá CNTT một kỳ vọng cụ thể thay vì lời hứa mơ hồ về quyền riêng tư. Máy chủ đầu tiên phục vụ các ứng cử viên hình thu nhỏ; cái thứ hai phục vụ bản ghi oEmbed. Vì thông tin tiết lộ xuất hiện trước lần nhấp chuột nên người kiểm tra có thể quan sát trang không hoạt động, dán liên kết và quyết định xem các yêu cầu được ghi lại của bên thứ ba có được chấp nhận hay không trước khi bắt đầu tra cứu.
Đọc tuyên bố ở phạm vi thực tế của nó. Nó mô tả các yêu cầu được khởi tạo bởi hoạt động Tìm nạp của công cụ này, không phải mọi phông chữ, tập lệnh, yêu cầu phân tích hoặc tính năng triển khai có thể tồn tại ở nơi khác trên trang sản xuất. Quá trình kiểm tra hữu ích sẽ tách biệt hành động đang được thử nghiệm và so sánh lưu lượng truy cập của nó với các máy chủ được ghi lại. Nó không biến một dấu vết rõ ràng thành một xác nhận quyền sở hữu trên toàn trang mà việc triển khai có giới hạn không thể thiết lập được.
Chính sách so với tuyên bố bạn có thể kiểm tra — sự khác biệt giữa trang quyền riêng tư và máy chủ lưu trữ có tên
Nguồn và bảng kê khai mô tả hành vi dự định; bản ghi bảng điều khiển mạng hiển thị những gì một trình duyệt thực sự đã gửi. Sử dụng cả hai dạng bằng chứng. Mã xác định các URL dự kiến, tùy chọn yêu cầu và trình kích hoạt, trong khi dấu vết trực tiếp tiết lộ các tiện ích mở rộng, nhân viên dịch vụ, proxy được quản lý hoặc chính sách trình duyệt có thể thay đổi hoạt động. Nếu họ không đồng ý, sự khác biệt sẽ trở thành một cuộc điều tra cụ thể thay vì tranh luận về những nhãn hiệu rộng lớn như “địa phương” hoặc “riêng tư”.
Mở DevTools trước khi tương tác, chọn Mạng, xóa các hàng hiện có và tắt bảo quản yêu cầu để việc điều hướng trước đó không làm ảnh hưởng đến số lượng. Dán liên kết được hỗ trợ và xác minh rằng phân tích cú pháp cục bộ không tạo ra tra cứu Google. Sau đó nhấn Tìm nạp một lần, lọc theo ID video được trích xuất và nhóm hoặc quét theo tên máy chủ. Ghi lại dấu thời gian và cột trạng thái nếu dấu vết sẽ hỗ trợ việc đánh giá hoặc thay đổi danh sách cho phép.
Xác minh các yêu cầu trực tiếp của công cụ mà không yêu cầu CSP nghiêm ngặt trên toàn trang hoặc không có nội dung bên ngoài
Không suy ra chính sách bảo mật nội dung nghiêm ngặt trên toàn trang hoặc không có phân tích, quảng cáo, phông chữ và tập lệnh bên ngoài từ mô-đun này. Những xác nhận đó yêu cầu bằng chứng từ trang được triển khai và các tiêu đề của nó, không phải từ trình trợ giúp mạng dành riêng cho công cụ. Khiếu nại có thể bào chữa được hẹp hơn: mã tra cứu sẽ cấp các GET công khai ẩn danh cho hai máy chủ Google có tên sau một hành động rõ ràng của người dùng.
Tuyến đường là trực tiếp. Không có điểm cuối ToolAcre API nào mang ID đã dán đến máy chủ, truy xuất phản hồi của Google hoặc lưu trữ lịch sử tra cứu. Điều đó làm giảm bớt một bên trung gian nhưng không loại bỏ bên thứ ba: Google vẫn nhận được yêu cầu về hình thu nhỏ và siêu dữ liệu. Ghi lại lần nhấp, đích đến, số lượng yêu cầu và loại phản hồi cùng nhau để "trực tiếp" không thể bị đọc sai thành "ngoại tuyến" hoặc "ẩn với Google".
Tại sao có hai máy chủ chứ không phải một — hình ảnh và siêu dữ liệu đến từ các dịch vụ YouTube khác nhau
Để tra cứu thành công, cần có tám yêu cầu i.ytimg.com: maxresdefault, sddefault, hqdefault, mqdefault, default, hq1, hq2 và hq3. ToolAcre đọc từng nội dung JPEG và giải mã các kích thước để trạng thái thành công mang phần giữ chỗ 120×90 không bị nhầm lẫn với tác phẩm nghệ thuật lớn hơn được yêu cầu. Năm địa chỉ áp phích WebP tùy chọn được tạo dưới dạng liên kết nhưng không được tìm nạp dưới dạng nội dung tải xuống có thể đọc được.
Mong đợi một sự riêng biệt www.youtube.com/oembed yêu cầu có truy vấn chứa đồng hồ chuẩn URL và định dạng=json. Kết quả của nó cung cấp siêu dữ liệu công cộng được chuẩn hóa hơn là tính khả dụng của hình ảnh. Tất cả các yêu cầu đều bỏ qua thông tin xác thực và người giới thiệu, yêu cầu không lưu trữ và theo dõi các chuyển hướng; Google nhìn thấy chúng và tiêu đề Origin của trình duyệt. Các tùy chọn này mô tả hành vi của khách hàng, không phải đảm bảo ẩn danh hoặc chính sách lưu giữ phía máy chủ.
Ví dụ đã hoạt động: một yêu cầu cho mỗi hình thu nhỏ JPEG cộng với một lần tra cứu oEmbed
Do đó, một lần chạy sạch sẽ chứa chín yêu cầu tra cứu: tám thăm dò JPEG và một lệnh gọi oEmbed. Mở một hàng JPEG có sẵn và xác minh thứ nguyên phản hồi của nó dựa trên kết quả của công cụ. Sau đó nhấp vào kiểm soát tải xuống của hàng đó. Quá trình lưu sẽ sử dụng lại Blob được giữ lại trong quá trình thăm dò để không có yêu cầu hình ảnh thứ hai nào xuất hiện. Một yêu cầu trùng lặp tại thời điểm đó sẽ mâu thuẫn với hành vi tái sử dụng Blob dự định và đáng được điều tra.
Giữ các liên kết khác biệt với các yêu cầu khi đếm. Sao chép WebP URL hoặc xem dưới dạng văn bản không có nghĩa là ToolAcre đã tìm nạp byte của nó và đường dẫn vi_webp thiếu tiêu đề phản hồi nhiều nguồn gốc cần thiết để tải xuống JavaScript Blob. Việc hiển thị iframe tăng cường quyền riêng tư đã tạo cũng nằm ngoài dấu vết tra cứu này: nó liên hệ với youtube-nocookie.com sau đó, khi một trang hoặc bản xem trước khác tải nội dung nhúng đã sao chép.
Nội dung này không bao gồm — công cụ này không thể đại diện cho chính sách hoặc ghi nhật ký của chính YouTube
Phân loại các thất bại thay vì làm phẳng chúng. Chế độ ngoại tuyến, tiện ích mở rộng hoặc proxy có thể dừng truyền trước khi tồn tại phản hồi HTTP. Hình ảnh có thể trả về 404, trạng thái lỗi khác, phần giữ chỗ 200 hoặc byte không giải mã được. Siêu dữ liệu có thể bị lỗi do gián đoạn mạng, HTTP bị từ chối hoặc JSON không hợp lệ. Giữ nguyên những điểm khác biệt đó trong ảnh chụp màn hình hoặc HAR ghi chú vì mỗi ghi chú gợi ý một lời giải thích và cách tiếp theo khác nhau.
Dấu vết không thể tiết lộ chính sách ghi nhật ký, lưu giữ hoặc tương quan nội bộ của Google. Nó cũng không thể cung cấp tài liệu riêng tư, bị xóa hoặc giới hạn độ tuổi. Tra cứu hạn chế không thành công là hành vi đăng xuất dự kiến, trong khi tra cứu công khai thành công chỉ chứng minh những gì môi trường đó nhận được tại thời điểm đó. Cả hai kết quả đều không xác thực quyền sử dụng lại, dự đoán khả năng sẵn có trong tương lai hoặc thiết lập hành vi chung cho các loại video khác.
Bài học rút ra: ít hứa hẹn hơn, tất cả đều có thể kiểm tra được — cách Trình tải xuống hình thu nhỏ và Trình xem siêu dữ liệu của YouTube trạng thái và duy trì hoạt động mạng của nó
Tính minh bạch của mạng hoạt động khi lời hứa đủ nhỏ để làm sai lệch: quá trình phân tích cú pháp diễn ra cục bộ trước Tìm nạp, sau đó một cú nhấp chuột rõ ràng sẽ bắt đầu hình thu nhỏ trực tiếp và yêu cầu oEmbed tới các máy chủ được tiết lộ. Nếu DevTools hiển thị yêu cầu ToolAcre API chứa dữ liệu tra cứu thì hành vi được quan sát sẽ xung đột với yêu cầu triển khai. Nếu số lượng yêu cầu khác nhau, hãy kiểm tra số lần thử lại, nhân viên dịch vụ, chuyển hướng và hành động của người dùng trước khi quyết định xem sản phẩm hoặc thiết lập thử nghiệm có chịu trách nhiệm hay không.
Khi bảng điều khiển hiển thị chín yêu cầu dự kiến và không có proxy tra cứu, hãy lưu giữ dấu vết dưới dạng bằng chứng ngày tháng, cụ thể về môi trường. Bao gồm phiên bản trình duyệt, tiện ích mở rộng hoặc bối cảnh mạng được quản lý nếu kết quả cung cấp thông tin chính sách. Lặp lại sau những thay đổi có ý nghĩa về triển khai hoặc phần phụ thuộc thay vì coi bản chụp cũ là bằng chứng vĩnh viễn. Kết luận mạnh mẽ nhất vẫn chính xác: trình duyệt này đã thực hiện tra cứu tài liệu trong lần chạy này, với các máy chủ, tùy chọn và phản hồi này.