Nettadresser har mer struktur enn det kan se ut til
En destinasjon inkluderer et skjema, vert, valgfri port, bane, spørring og fragment. Å behandle den som en vilkårlig streng gjør valideringen inkonsekvent og kan introdusere usikker eller overraskende oppførsel.
Analyser hele verdien én gang med en testet URL-parser, og bruk deretter reglene på det strukturerte resultatet.
Fragmenter hører ikke hjemme i serverforespørselen
En nettleser beholder fragmentet etter hash-tegnet og sender det ikke til målserveren. En omdirigeringstjeneste kan bevare den for klientnavigering, men en plattform kan med vilje fjerne fragmenter når kontrakten behandler dem som en lokal UI-tilstand.
Uansett hvilken regel du velger, bør den være synlig og testet. Å kode fragmentet inn i stien uten å gjøre det tydelig, endrer målet og er en vanlig normaliseringsfeil.
Private mål krever ekstra omtanke
Lokale, private, lenkelokale og interne verter kan bli farlige når plattformen også henter forhåndsvisninger eller utfører helsesjekker. Å avvise dem før lagring gir en enklere sikkerhetsgrense.
Vertsoppslag trenger ekstra kontroller i en isolert henteprosess, fordi et tilsynelatende offentlig vertsnavn senere kan peke til en privat adresse. Strengvalidering alene er ikke et fullstendig vern mot SSRF.