Bir HTML formunun eylem özelliği için boş bir URL kullanmak iyi bir uygulama mudur? (Aksiyon = “”)

Herkes geçerli sayfaya geri göndermek için boş HTML formu eylemleri kullanarak "en iyi yöntemler" yanıt verebilir olup olmadığını merak ediyorum.

Orada boş bir HTML form eylemi burada ne yaptığını soran bir mesaj ve benzeri bazı sayfalar bu bir o gayet önermek ama insanların ne düşündüğünü bilmek istiyorum.

Yapabileceğiniz en iyi şey, aksiyon özelliğini tamamen dışarıda bırakmaktır. Dışarıda bırakırsanız, form belgenin adresine, yani aynı sayfaya gönderilir.

Boş bırakmak da mümkündür ve HTML'nin form gönderme algoritmasını uygulayan herhangi bir tarayıcı , dokümanın adresine eşdeğer olarak davranacaktır, çünkü bu tarayıcılar şu anda şu şekilde çalışır:

8.Eylem, gönderen öğenin eylemi olsun .

9.İşlem boş dize ise, eylemin belgenin adresi olmasına izin verin .

Not: Bu adım, burada temel URL işlemeyi gerektiren RFC 3986'nın kasıtlı bir ihlalidir . Bu ihlal, eski içerikle uyumluluk arzusundan kaynaklanmaktadır. [RFC3986]

Bu kesinlikle mevcut tüm tarayıcılarda çalışır, ancak bazı eski tarayıcılarda beklendiği gibi çalışmayabilir ( " tarayıcılar boş bir eylemle garip şeyler yapar =" "öznitelik " ), bu yüzden spec yazarların boş bırakmasını kesinlikle önler :

actionVe formactioniçerik nitelikleri, belirtilmişse, bir bir değere sahip olmalıdır potansiyel boşluklarla çevrili geçerli boş olmayan bir URL .

Aslında, geçerli HTML5 taslağının Form Gönderme alt bölümüne izin verilmez action="". Bu spec karşı.

actionVe formactioniçerik nitelikleri, belirtilmişse geçerli olan bir değere sahip olmalıdır boş olmayan potansiyel boşluklarla çevrili URL. (vurgu eklenmiştir)

Mercator'ın cevabındaki alıntılanan bölüm yazarlar değil uygulamalar için bir gerekliliktir . Yazarlar yazarın gereksinimlerini karşılamalıdır. Alıntı bu şartname nasıl okunmalı :

Özellikle üreticiler için, örneğin yazarlar ve oluşturdukları belgeler için geçerli olan uyumluluk gereksinimleri vardır ve tüketiciler için, örneğin Web tarayıcıları için geçerli olan uyumluluk gereksinimleri vardır. İhtiyaç duydukları şey ile ayırt edilebilirler: bir üretici için bir gereklilik neye izin verildiğini belirtirken, bir tüketici için bir gereksinim yazılımın nasıl hareket edeceğini belirtir.

Boş bir URL'ye izin veren HTML4'teki değişiklik, “ tarayıcılar boş bir action=""özniteliğe sahip tuhaf şeyler yapıyor ” nedeniyle yapıldı. Değişikliğin nedeni göz önüne alındığında, muhtemelen HTML4'te bunu yapmamak en iyisidir.

Action özniteliğini dahil etmemek , sayfayı birkaç basit adım içeren iframe clickjacking saldırılarına kadar açar :

• Saldırgan, sayfanızı iframe içine sarar
• İframe URL'si, form alanıyla aynı ada sahip bir sorgu parametresi içerir
• Form gönderildiğinde, sorgu değeri veritabanına eklenir
• Kullanıcının kimlik bilgileri (e-posta, adres vb.) Ele geçirildi

Referanslar

• CSRF korumalarını ClickJacking ve HTTP Parametre Kirliliği ile atlamak

Bu HTML5 ile doğrulanacaktır.

<form action="#">

HTML action=""5'DE DESTEKLENMEDİĞİ BU BUNU YAPMAYIN. KÖTÜ UYGULAMA.

Bunun yerine, eylemi tamamen reddederseniz, varsayılan olarak aynı sayfaya gönderilir, bunun en iyi uygulama olduğuna inanıyorum:

<form>This will submit to the current page</form>

Eğer php kullanarak formu yuvarlanıyorsa, aşağıdakileri dikkate almak isteyebilirsiniz. buradan daha fazla bilgi edinebilirsiniz.

<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">

Alternatif olarak #, bunun bir çapa gibi davranacağını ve sayfanın üst kısmına kaydırılacağını unutmayın.

<form action="#">

Normalde XHTML geçerli olan ve URL'deki GET verilerini tutan action = "" kullanıyorum.

Formun nerede yayınlandığını açıkça belirtmek en iyisi olduğunu düşünüyorum . Tamamen güvende olmak istiyorsanız, formun kendisine geri gönderilmesini istiyorsanız eylem özelliğine aynı URL'yi girin. Ana tarayıcılar ""aynı sayfayı değerlendirse de, ana akım olmayan tarayıcıların olacağını garanti edemezsiniz.

Ve elbette, Juddling gibi GET verilerini içeren URL'nin tamamı dikkat çekiyor.

Sadece kullan

?

<form action="?" method="post" enctype="multipart/form-data" name="myForm" id="myForm">

HTML5 standartlarını ihlal etmez.

Klasik ASP ile çalışırken bunu çok yapardım. Genellikle giriş için bir çeşit sunucu tarafı doğrulaması gerektiğinde (AJAX günlerinden önce) kullandım. Gördüğüm en temel dezavantajı, programlama mantığını dosya düzeyinde sunumdan ayırmamasıdır.

Ben hiç eylem niteliği belirtmek için kullanın. Aslında benim çerçevem ​​bu şekilde tasarlanır ve tüm sayfalar tam olarak aynı adrese geri gönderilir. Ama bugün problemi keşfettim. Bazen bazı arka plan çağrısı yapmak için eylem öznitelik değeri ödünç alıyorum (sanırım bazı insanlar onları AJAX olarak adlandırıyor). Bu yüzden eylem niteliği belirtilmemişse IE'nin eylem niteliği değerini boş tuttuğunu gördüm. Anladığım kadarıyla biraz garip, çünkü herhangi bir eylem özelliği belirtilmemişse, JavaScript karşılığı en azından tanımsız olmalıdır. Her neyse, benim açımdan, daha fazla bağlam anlamanız gereken en iyi uygulamayı seçmeden önce, örneğin JavaScript'te kullanacaksınız veya kullanamayacaksınız.