....
(Linkissä siis testi siitä voiko url:n perään laittaa omaakin tekstiä.)
Mistähän moinen johtuu? Sain alkuperäisen linkin kaveriltani ja en tiennyt tuollaisesta ominaisuudesta.
Johtuu siitä, että webbisovellusten URLit ja niiden tulkinta pitää tehdä niin, että vaikkapa mahdolliset
XSS-scriptit eivät pääse tekemään tuhojaan.
Joskus aiemmin webbisivut olivat pelkkiä tiedotoja palvelimilla, kunnes muutuivat dynaamisiksi, eli ovatkin ohjelmia, jotka luovat sivut pyynnöstä käyttäen tietokannoissa olevaa dataa.
Näitä ohjelmia ohjataan usein tuossa URLissa olevilla parametreilla. Esim. tässä jatkoajassa on vaikka "p=zzzzz", missä zzzzz tarkoittaa tiettyä postausta. Ohejmahan palvelimella suorittaa komentoja tyyliin:
hae p: arvo URLista
hae postaus numero p
printtaa postaus
nyt jos joku menee kirjoittamaan p:n tilalle suoritettavaa koodia kuten:
p="tuhoa tietokanta"
niin mikäli tuon p:n sisältöä ei tarkasteta asiallisesti, ohjelma saattaa tehdä jotain muutakin kuin vain luoda sen halutun webbisiuvn. HS:n sivu lukee tuosta URLista vain sen osa mikä sitä kiinnostaa, mikä on ihan oikein.