檔案·自由發票工具
如何檢查線上發票產生器是否正在傳送客戶資料
· 工作原理
發票 隱私 瀏覽器 API 安全
發票表格包含姓名、地址、銀行詳細資料和稅號，因此值得了解它們的去向。這篇文章展示如何在鍵入和匯出時觀察網絡，以及如何讀取第三方程式碼的網站內容安全策略。
擊鍵也是資料 - 為什麼發票表格可能會在您按下匯出按鈕之前洩漏
表單可以在按下「匯出」按鈕之前很久就傳輸每個輸入事件的資料。姓名、地址、稅務識別碼和付款說明在輸入時已經很敏感，因此有用的檢查從空白頁面開始，觀察整個會話，而不僅僅是最終下載。
打字時觀看網路面板 — 發現攜帶表單內容的自動儲存或分析請求
開啟網路面板，保留日誌並在每個相關欄位中輸入無害的樣本值。檢查請求負載、查詢字串和目的地，而不是僅依賴請求計數。本地自動保存應該更改瀏覽器存儲，而不創建攜帶這些欄位的應用程式請求。
在匯出過程中觀察它 — 伺服器端 PDF 產生器的請求與本機匯出相比是什麼樣子
在 PDF 和 JSON 匯出期間保持面板打開。伺服器渲染器通常需要包含檔案資料或已上傳資料的識別碼的請求；本機渲染器可以建立 Blob 並下載它，而無需往返。發票來源在瀏覽器中建構其 PDF。
將內容安全策略視為一種控制，而不是證明沒有外部程式碼執行
此大綱誇大了內容安全策略：策略可以限制腳本、字體和連接來源，但其確切指令決定仍允許哪些內容。這是一個值得檢查的有用標頭，而不是證明沒有第三方程式碼執行或允許的程式碼從不讀取欄位的獨立證據。
第三方腳本及其所看到的內容 - 為什麼表單頁面上的分析和廣告標籤是隱私問題，而不僅僅是速度問題
分析和廣告腳本值得單獨審查，因為在表單頁面上執行的程式碼可以觀察到比 PDF 建構器更多的內容。目前的發票清單禁用了這兩者，並限制內容禁止 ToolAcre 分析事件中的發票欄位，而更廣泛的部落格檔案則警告部署可以注入站點級分析。
工作範例 — 從第一次按鍵到下載 PDF 對自由發票工具進行全面檢查
對於實際演練，重新載入保留的日誌，輸入發明的值，檢查 localStorage，產生匯出並蒐索這些值的每個請求。如果您需要區分頁面活動和擴充功能流量，請在停用瀏覽器擴充功能的情況下重複此操作。保存證據，而不僅僅是結論。
這不包括 - 您自己的裝置和瀏覽器擴充功能的安全性，這是網站無法控制的
此檢查無法證明作業系統、瀏覽器設定檔、擴充功能、下載檔案目標或後續電子郵件工作流程的安全性。它也同時觀察一個已部署的版本。當頁面層級第三方程式碼或裝置信任不可接受時，機密真實資料屬於離線工作流程。
重點 — 驗證欄位處理，而不宣告整個生產頁面沒有第三方腳本
儲存庫驗證本地發票處理、本地草稿儲存和瀏覽器建置的匯出；它並不能證明工作簿更廣泛的承諾，即整個製作頁面始終沒有第三方腳本。親自檢查已部署的回應和請求，並僅描述證據支持的現場流程。