Analizator URL
Działa w całości w Twojej przeglądarce. Twoje pliki i dane nigdy nie opuszczają Twojego urządzenia.
| Klucz | Wartość | |
|---|---|---|
| Protokół | https: | |
| Nazwa użytkownika | user | |
| Hasło | pass | |
| Host | example.com:8080 | |
| Nazwa hosta | example.com | |
| Port | 8080 | |
| Ścieżka | /path/page | |
| Hash | #section | |
| Origin | https://example.com:8080 |
| q | hello world | |
|---|---|---|
| lang | en |
O tym narzędziu
Wklej adres URL, a narzędzie rozłoży go na części tak, jak widzi je przeglądarka od wewnątrz: protokół, nazwę użytkownika, hasło, host, nazwę hosta, port, ścieżkę, fragment i origin. Parametry zapytania trafiają do osobnej tabeli, zdekodowane i wypisane klucz po kluczu, więc ?a=1&b=hello%20world pokazuje się jako a: 1 i b: hello world, a nie jako jeden długi zakodowany ciąg.
Dlaczego nie odczytać URL po prostu wzrokiem?
Bo adresy URL łatwo źle odczytać. Dwukropek, znak @ albo ukośnik w niewłaściwym miejscu potrafią zmienić, dokąd URL naprawdę prowadzi, a przeglądarki rozstrzygają tę niejednoznaczność według formalnych reguł, nie na oko. To narzędzie korzysta z wbudowanego parsera URL przeglądarki zamiast ręcznie pisanego wyrażenia regularnego, więc dzieli ciąg dokładnie tak, jak definiuje to standard WHATWG URL, czyli tak samo, jak zrobiłaby to Twoja przeglądarka. Jeśli wklejony tekst nie jest poprawnym adresem URL, narzędzie to zgłasza, zamiast zgadywać częściowy wynik.
Ten sam wbudowany parser sprawia, że część userinfo (user:pass@host) i port wychodzą czysto oddzielone od nazwy hosta. Adres w stylu http://user:pass@evil.com@prawdziwa-strona.com/ to klasyczna sztuczka phishingowa właśnie dlatego, że trudno go poprawnie odczytać wzrokiem. Przepuszczenie go przez ten sam kod, którego używa przeglądarka, pokazuje prawdziwa-strona.com jako właściwy host, a user:pass@evil.com jako userinfo, czyli dokładnie to, co warto zobaczyć, zanim się kliknie.
Czy wklejony URL gdzieś trafia?
Nie. Analiza odbywa się w całości w przeglądarce. Adres URL wklejony tutaj, nawet jeśli niesie token uwierzytelniający w parametrach zapytania albo dane logowania w userinfo, nigdy nie opuszcza Twojego urządzenia.
Do czego się to przydaje?
Do sprawdzenia adresu przekierowania, zanim mu zaufasz, do odczytania callbacku OAuth z kilkunastoma parametrami zapytania, do potwierdzenia, na jaki port faktycznie wskazuje bazowy adres API, albo do zrozumienia, dlaczego link z osadzonymi danymi logowania zachowuje się inaczej niż powinien. Zobacz dokumentację API URL na MDN opisującą właściwości odczytywane przez to narzędzie oraz przewodnik MDN po budowie adresu URL, jeśli któreś z tych pojęć są nowe.