Fixing the URL params performance penalty
Barry Pollard (@tunetheweb@webperf.social) is a Web Performance Developer Advocate in the Google Chrome team, working on Core Web Vitals and the Chrome User Experience Report (CrUX). He is one of the maintainers of the HTTP Archive and the author of HTTP/2 in Action from Manning Publications. Tales of two pages… What’s the difference between these two pages?: https://www.example.com/ https://www.e
Your URL Is Your State
Couple of weeks ago when I was publishing The Hidden Cost of URL Design I needed to add SQL syntax highlighting. I headed to PrismJS website trying to remember if it should be added as a plugin or what. I was overwhelmed with the amount of options in the download page so I headed back to my code. I checked the file for PrismJS and at the top of the file, I found a comment containing a URL: /* http
New crazy payloads in the URL Validation Bypass Cheat Sheet
Published: 29 October 2024 at 13:59 UTC Updated: 22 November 2024 at 09:06 UTC The strength of our URL Validation Bypass Cheat Sheet lies in the contributions from the web security community, and today’s update is no exception. We are excited to introduce a new and improved IP address calculator, inspired by @e1abrador's Encode IP Burp Suite Extension and many more. New IP validation bypass techni
続・URLシェアを支える技術 CompressionStream
しかしCompressionStreamはその名の通りWeb Stream APIなのでどう頑張っても出力は非同期です。なので関数名と引数は同じですが戻り値はPromise<string>になります。 また、アルゴリズムが違うので互換はありません。今までlz-stringで圧縮・解凍していた箇所をいきなりCompressionStream版に置き換えても機能しませんのでご注意ください。 ちなみに、lz-stringの圧縮アルゴリズムはドキュメントでLZ-basedと書かれており、おそらく作者独自のアルゴリズムです。 CompressionStreamで選択できるアルゴリズム（語弊あり）は gzip, deflate, deflate-rawです。gzipはgzipですが、deflateはzlibでdeflate-rawが純粋なdeflateです。命名については歴史的経緯があるようです。 前
Free Redirect Checker - Analyze URL Redirects, SEO & Security
Your Ultimate URL Redirect Analysis ToolCheck Your Redirects and Status Codes
URL.canParse
Parsing of URLs on the client side has been a common practice for two decades. The early days included using illegible regular expressions but the JavaScript specification eventually evolved into a new URL method of parsing URLs. While URL is incredibly useful when a valid URL is provided, an invalid string will throw an error -- yikes! A new method, URL.canParse, will soon be available to validat
マルチバイト文字とURL | 技術者ブログ | 三井物産セキュアディレクション株式会社
MBSDでWebアプリケーションスキャナの開発をしている寺田です。 前記事では正規表現でのURLのチェックについて書きました。今回はその続きでマルチバイト文字を使った攻撃について書きたいと思います。 前提条件 本記事で想定するのは、ブラウザからパラメータとして渡されて来るURLを、リダイレクトやリンク等のURLとして使うケースです。その中でも、以下のようにサブドメイン部分（★の部分）を可変にする状況を主に想定します。 https://★.example.jp/… 攻撃の目標は、異なるドメイン（evil）のURLを与えてチェックをすり抜けることです。前回の記事にも書きましたが、この状況は（半角英数等のサブドメインしか受け入れないような場合を除き）「/」「?」「#」「\」のいずれかをサブドメインに入れることで攻略できることが大半です。 今回はこれらの記号が全て使用できないように対策されているこ
URLSearchParams なら RFC3986 に準拠すると思ったら微妙だった
qs 使えば RFC3986 の予約文字がエンコードされるのは確認できたのですが、今どきのブラウザなら URLSearchParams が使えるらしい。 パッケージ無く行けるなら楽ですよね。試しに大丈夫なのか DevTools のコンソール（Chrome 95.0.4638.69）で試してみました。 ・・・アスターリスク(*)だけそのままですね。 どうやら application/x-www-form-urlencoded のエンコードになるようですが、 URLSearchParams objects will percent-encode anything in the application/x-www-form-urlencoded percent-encode set, and will encode U+0020 SPACE as U+002B (+). https://url.
URL Standard
Participate: GitHub whatwg/url (new issue, open issues) Chat on Matrix Commits: GitHub whatwg/url/commits Snapshot as of this commit @urlstandard Tests: web-platform-tests url/ (ongoing work) Translations (non-normative): 日本語 简体中文 한국어 Abstract The URL Standard defines URLs, domains, IP addresses, the application/x-www-form-urlencoded format, and their API. Goals The URL standard takes the followin
[JavaScript] URLを文字列結合で組み立てないために、url-cheatsheetを作った
[JavaScript] URLを文字列結合で組み立てないために、url-cheatsheetを作った URLを文字列結合で組み立てると色々問題が起きやすいので、それを避けるためにURL APIやURLSearchParams APIでURLを組み立てるパターンをまとめたチートシートを作りました。 azu/url-cheatsheet: URL manipulation cheatsheet for JavaScript URLにユーザーが入力した文字列を含めるときはencodeURIComponentでエスケープする URLはプレーンな文字列ではなく構造化された文字列(文字の並びに意味がある文字列)として扱わないと、さまざまな問題を抱えやすいです。 たとえば、次のように文字列結合でURLを組み立てるとパストラバーサルの問題があります。 name に ../../adminのような文字列が
![[JavaScript] URLを文字列結合で組み立てないために、url-cheatsheetを作った](https://cdn-ak-scissors.b.st-hatena.com/image/square/8e5439b69c83b50834bd0c07600f1b23fd865e34/backend=imagemagick;height=288;version=1;width=512/https%3A%2F%2Fefcl.info%2Fpublic%2Ffavicon.png)
href.li: hide your referrer
Create an anonymous link that will hide the HTTP Referer header. Hide the referrer to your URL: href.li bookmarklet - drag this link to your Browser toolbar.
http://http://http://@http://http://?http://#http://
http://http://http://@http://http://?http://#http:// The other day I sent out this tweet As it took off, got an amazing attention and I received many different comments and replies, I felt a need to elaborate a little. To add some meat to this. Is this string really a legitimate URL? What is a URL? How is it parsed? http://http://http://@http://http://?http://#http:// curl Let’s start with curl. I
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
URL to Any | All-in-one URL Conversion Tool
GitHub - asmyshlyaev177/state-in-url: Store any user state in query parameters; imagine JSON in a browser URL, while keeping types and structure of data, e.g.numbers will be decoded as numbers not strings. With TS validation. Shared state and URL state sy
GitHub - 47ng/nuqs: Type-safe search params state manager for React frameworks - Like useState, but stored in the URL query string.
Add a size getter to URLSearchParams by annevk · Pull Request #734 · whatwg/url
deps: replace url parser with Ada by anonrig · Pull Request #46410 · nodejs/node
Secure JavaScript URL validation | Snyk
Working with file system paths and file URLs on Node.js
Hostname spoofing via backslashes in URL