JavaScript URL.protocol — протокол адреси

Властивість protocol повертає протокол — разом із двокрапкою: https:, http:, blob:.

правити

Загальний опис

Двокрапка входить у значення. Порівняння protocol === 'https' не спрацює ніколи — треба 'https:'.

І це не просто дрібниця, а питання безпеки. Посилання з протоколом javascript: виконує код при кліку. Якщо адреса приходить від користувача й підставляється в href, протокол треба перевіряти — інакше отримаєш XSS.

правити

Нотатка

Дозволяй у користувацьких посиланнях лише http: і https:. Протоколи javascript: і data: — готовий вектор атаки.

автор: NagarD правити

+ додати пораду чи нотатку

Переглядачі

Стаціонарні переглядачі Мобільні переглядачі Серверні переглядачі

Підтримка: стаціонарні переглядачі

Переглядач
	32	22	10	19	13	—

Підтримка: мобільні переглядачі

Переглядач
	4.4.3	32	22	10

Підтримка: серверні переглядачі

Переглядач
	6.13.0	1.0

Приклади

+ запропонувати свій приклад у пісочниці

console.log(new URL('https://css.in.ua').protocol); // 'https:' — із двокрапкою

function safeLink(href) {
    if (!URL.canParse(href)) {
        return null;
    }

    const url = new URL(href);

    // білий список — інакше javascript: виконає код
    if (url.protocol !== 'http:' && url.protocol !== 'https:') {
        return null;
    }

    return url.href;
}

console.log(safeLink('javascript:alert(1)')); // null