document.URL的安全性如何？

Question

假设您在浏览器URL中存储了一些信息。然后你发回来了 服务器的URL以进行一些验证。 browser.URL对象有多乱。有些用户可以轻松更改内存中URL的值吗？

Answer 1

我假设您专门引用browser.URL，因为JavaScript只能获取它，而不是设置它。但是没有人真的必须在内存或其他任何东西中攻击browser.URL，他们只需要在他们想要的URL中输入位置栏。

Answer 2

document.URL是not settable，但当然可以通过导航栏中的更改或其他方式手动更改URL中的任何值。

然而，这应该都是重点，因为无论你在哪里“将URL发送回服务器”，用户都可以轻松地操纵传递给服务器的内容，而无需更改document.URL。