http - 为什么 FireFox 和某些其他浏览器会在服务器响应时更改地址栏中的 URL

Question

由于以下问题，本季度我难以满足 PCI-DSS 合规性要求。

当您在浏览器中输入以下内容时...

http://www.mygarble.com/main/Community/Chat?command=CHAT_MESSAGE&displayname=%22%3E%3Cscript%3Ealert%28123%29%3C%2Fscript%3E%22

...它做出响应，结果，出于某种我无法确定的原因，浏览器地址栏中的 URL 更改为以下内容:

http://www.mygarble.com/main/Community/Chat?command=CHAT_MESSAGE&displayname="><script>alert(123)<%2Fscript>"

可以看到原网址中的一些转义字符已经被未转义的字符替换了。

我给出的原因是当服务器响应时，FireFox 会自动重新格式化地址栏中的 URL，无论它如何响应，以使其更具可读性。我告诉他们我对此无能为力。但是，公平地说，他们反驳说，如果您尝试以下 URL...

http://www.google.com/%22%%203E%3Cscript%3Ealert%28123%29%3C%2Fscript%3%20E%22

...当 Google 服务器响应时，浏览器不会更改 URL，它保持不变:

http://www.google.com/%22%%203E%3Cscript%3Ealert%28123%29%3C%2Fscript%3%20E%22

他们说的有道理。

那么到底是怎么回事呢？我已经缩小了问题的范围，如果我只请求一个空文本文件，但在它后面附加一些无意义的查询...

http://localhost/http.mygarble.com/hello.txt?displayname=%22%3E%3Cscript%3Ealert%28123%29%3C%2Fscript%3E%22

...你瞧，当我的本地服务器响应时它被重写了:

http://localhost/http.mygarble.com/hello.txt?displayname=%22%3E%3Cscript%3Ealert%28123%29%3C%2Fscript%3E%22

我已经通过 Fiddler 运行它并且没有发现任何异常，并且我已经关闭了重写引擎。我正在运行 Apache。

更令人困惑的是，不同的浏览器有不同的响应。打字...

http://localhost/http.mygarble.com/hello.txt?displayname=%22%3E%3Cscript%3Ealert%28123%29%3C%2Fscript%3E%22

...进入 Chrome 产量:

http://localhost/http.mygarble.com/hello.txt?displayname=%22%3E%3Cscript%3Ealert%28123%29%3C%2Fscript%3E%22

在 IE 中，URL 保持完全相同。在 Opera 中，除非您单击地址栏，否则查询字符串将被丢弃，这使我相信浏览器会根据响应自动更改地址栏中的 URL，以使其更具可读性。 Safari 和 IE 一样，保留 URL。

我现在要检查 Google 的响应以寻找线索。是否有一些 HTTP 指令指示浏览器不要在响应时干预 URL。

非常感谢任何帮助!

亲切的问候，

詹姆斯

Answer 1

google URL 栏结果没有改变，因为 URL 编码序列无效(“%3”不是有效的编码序列 - 应该有两个十六进制数字)。如果您将第一个链接中的相同 URI 部分附加到 google 域，则:

http://www.google.com/%22%3E%3Cscript%3Ealert%28123%29%3C%2Fscript%3E%22

它还在地址栏中被替换为未转义的字符(在 Firefox 4.0.1、Mac OS X Snow Leopard、荷兰)

关于什么要转义和什么不转义的一些有趣的讨论，参见 eg. https://bugzilla.mozilla.org/show_bug.cgi?id=425480 .