यूआरएल में दिखने से कहीं अधिक संरचना होती है
एक गंतव्य में एक योजना, होस्ट, वैकल्पिक पोर्ट, पथ, क्वेरी और टुकड़ा शामिल होता है। इसे एक मनमानी स्ट्रिंग के रूप में मानने से सत्यापन असंगत हो जाता है और असुरक्षित या आश्चर्यजनक व्यवहार पेश कर सकता है।
परीक्षण किए गए यूआरएल पार्सर के साथ एक बार पूर्ण मान को पार्स करें, फिर संरचित परिणाम पर नियम लागू करें।
टुकड़े सर्वर अनुरोध में शामिल नहीं हैं
एक ब्राउज़र हैश चिह्न के बाद टुकड़े को रखता है और इसे गंतव्य सर्वर पर नहीं भेजता है। एक रीडायरेक्ट सेवा इसे क्लाइंट नेविगेशन के लिए संरक्षित कर सकती है, लेकिन एक प्लेटफ़ॉर्म जानबूझकर टुकड़े हटा सकता है जब उसका अनुबंध उन्हें स्थानीय यूआई स्थिति के रूप में मानता है।
जो भी नीति चुनी जाए वह दृश्यमान और परीक्षणित होनी चाहिए। पथ में हैश की साइलेंट एन्कोडिंग गंतव्य को बदल देती है और यह एक सामान्य सामान्यीकरण बग है।
निजी स्थलों को विशेष देखभाल की आवश्यकता है
लूपबैक, निजी, लिंक-स्थानीय और आंतरिक होस्ट तब खतरनाक हो सकते हैं जब कोई प्लेटफ़ॉर्म पूर्वावलोकन लाता है या स्वास्थ्य जांच करता है। भंडारण से पहले उन्हें अस्वीकार करने से सुरक्षा सीमा सरल हो जाती है।
होस्टनाम रिज़ॉल्यूशन को एक अलग फ़ेचर में अतिरिक्त जांच की आवश्यकता होती है क्योंकि एक सार्वजनिक दिखने वाला होस्टनाम बाद में एक निजी पते पर हल हो सकता है। केवल स्ट्रिंग सत्यापन ही संपूर्ण SSRF सुरक्षा नहीं है।