เป็นการดีที่จะใช้ URL ที่ว่างเปล่าสำหรับแอตทริบิวต์การกระทำของฟอร์ม HTML หรือไม่ (การกระทำ =“”)

ฉันสงสัยว่าใครสามารถตอบกลับ "แนวปฏิบัติที่ดีที่สุด" เพื่อใช้การกระทำแบบฟอร์ม HTML เปล่าเพื่อโพสต์กลับไปที่หน้าปัจจุบัน

มีโพสต์ถามว่าการกระทำแบบฟอร์ม HTML ว่างเปล่าทำอะไรที่นี่และบางหน้าเช่นนี้แนะนำว่ามันดี แต่ฉันอยากจะรู้ว่าคนอื่นคิดอย่างไร

สิ่งที่ดีที่สุดที่คุณทำได้คือออกจากแอ็ตทริบิวต์การกระทำโดยสิ้นเชิง หากคุณไม่ได้กรอกฟอร์มจะถูกส่งไปยังที่อยู่ของเอกสารเช่นหน้าเดียวกัน

นอกจากนี้ยังเป็นไปได้ที่จะปล่อยให้มันว่างเปล่าและเบราว์เซอร์ใดก็ตามที่ใช้อัลกอริทึมการส่งแบบฟอร์มของ HTMLจะถือว่ามันเทียบเท่ากับที่อยู่ของเอกสาร

8.ขอให้การดำเนินการเป็นส่วนส่งของการกระทำ

9.หากการดำเนินการคือสตริงที่ว่างเปล่าให้การดำเนินการเป็นที่อยู่ของเอกสาร

หมายเหตุ: ขั้นตอนนี้เป็นการละเมิดโดยเจตนาของ RFC 3986 ซึ่งจะต้องมีการประมวลผล URL พื้นฐานที่นี่ การละเมิดนี้ได้รับแรงบันดาลใจจากความปรารถนาที่จะเข้ากันได้กับเนื้อหาดั้งเดิม [RFC3986]

นี้แน่นอนทำงานในเบราว์เซอร์ในปัจจุบันทั้งหมด แต่อาจไม่ทำงานตามที่คาดไว้ในเบราว์เซอร์รุ่นเก่าบางรุ่น ( " เบราว์เซอร์ทำสิ่งแปลกที่มีการกระทำที่ว่างเปล่า =" "แอตทริบิวต์ " ) ซึ่งเป็นเหตุผลที่สเปคขออุปสรรคเขียนออกจากมันว่างเปล่า :

actionและformactionแอตทริบิวต์เนื้อหาถ้าระบุต้องมีค่าที่เป็นURL ไม่ว่างเปล่าที่ถูกต้องที่อาจเกิดขึ้นล้อมรอบด้วยช่องว่าง

ที่จริงส่วนย่อยแบบฟอร์มการส่งร่าง HTML5 action=""ปัจจุบันไม่อนุญาตให้ มันขัดกับสเป็ค

actionและformactionแอตทริบิวต์เนื้อหาถ้าระบุต้องมีค่าที่ถูกต้องไม่ว่างเปล่า URL ที่อาจเกิดขึ้นล้อมรอบด้วยช่องว่าง (เน้นเพิ่ม)

ส่วนที่ยกมาในคำตอบของ Mercatorเป็นความต้องการในการใช้งานที่ไม่ได้เขียน ผู้เขียนจะต้องปฏิบัติตามข้อกำหนดของผู้แต่ง หากต้องการอ้างอิงวิธีอ่านข้อมูลจำเพาะนี้ :

โดยเฉพาะอย่างยิ่งมีข้อกำหนดความสอดคล้องที่ใช้กับผู้ผลิตเช่นผู้แต่งและเอกสารที่พวกเขาสร้างและมีข้อกำหนดความสอดคล้องที่ใช้กับผู้บริโภคเช่นเว็บเบราว์เซอร์ พวกเขาสามารถแยกแยะได้ด้วยสิ่งที่พวกเขาต้องการ: ข้อกำหนดของผู้ผลิตระบุสิ่งที่ได้รับอนุญาตในขณะที่ข้อกำหนดของผู้บริโภคระบุว่าซอฟต์แวร์ต้องทำหน้าที่อย่างไร

การเปลี่ยนแปลงจาก HTML4 ซึ่งอนุญาต URL ที่ว่างเปล่าเกิดขึ้นเนื่องจาก“ เบราว์เซอร์ทำสิ่งแปลก ๆ ที่มีaction=""แอตทริบิวต์ว่างเปล่า ” เมื่อพิจารณาถึงเหตุผลของการเปลี่ยนแปลงน่าจะดีที่สุดที่จะไม่ทำเช่นนั้นใน HTML4

ไม่รวมแอททริบิวต์ action จะเปิดหน้าเว็บได้มากถึงiframe clickjacking attack ซึ่งเกี่ยวข้องกับขั้นตอนง่ายๆ:

• ผู้โจมตีล้อมหน้าของคุณใน iframe
• URL iframe มีพารามิเตอร์แบบสอบถามที่มีชื่อเดียวกันกับเขตข้อมูลฟอร์ม
• เมื่อมีการส่งแบบฟอร์มค่าแบบสอบถามจะถูกแทรกลงในฐานข้อมูล
• ข้อมูลการระบุตัวตนของผู้ใช้ (อีเมลที่อยู่ ฯลฯ ) ถูกโจมตี

อ้างอิง

• การข้ามการป้องกัน CSRF ด้วย ClickJacking และมลพิษของพารามิเตอร์ HTTP

สิ่งนี้จะตรวจสอบกับ HTML5

<form action="#">

ใน HTML 5 action=""ไม่รองรับดังนั้นอย่าทำเช่นนี้ การปฏิบัติที่ไม่ดี

หากคุณปฏิเสธการดำเนินการโดยสิ้นเชิง แต่จะส่งไปที่หน้าเดียวกันโดยค่าเริ่มต้นฉันเชื่อว่านี่เป็นวิธีปฏิบัติที่ดีที่สุด:

<form>This will submit to the current page</form>

หากคุณกำลังใช้แบบฟอร์ม php คุณอาจต้องพิจารณาสิ่งต่อไปนี้ อ่านเพิ่มเติมได้ที่นี่

<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">

หรือคุณอาจใช้การ#จำไว้ว่าสิ่งนี้จะทำหน้าที่เป็นตัวยึดและเลื่อนไปที่ด้านบนของหน้า

<form action="#">

ปกติฉันจะใช้ action = "" ซึ่งเป็น XHTML ที่ถูกต้องและเก็บข้อมูล GET ไว้ใน URL

ฉันคิดว่าเป็นการดีที่สุดที่จะระบุอย่างชัดเจนว่าแบบฟอร์มโพสต์ที่ใด หากคุณต้องการความปลอดภัยโดยสิ้นเชิงให้ป้อน URL เดียวกันกับที่มีการเปิดฟอร์มในแอ็ตทริบิวต์การดำเนินการหากคุณต้องการให้มันส่งกลับมาที่ตัวเอง แม้ว่าเบราว์เซอร์กระแสหลัก""จะประเมินเป็นหน้าเดียวกันคุณไม่สามารถรับประกันได้ว่าเบราว์เซอร์ที่ไม่ใช่กระแสหลักจะทำเช่นนั้น

และแน่นอนว่า URL ทั้งหมดรวมถึงข้อมูล GET เช่น Juddling ชี้ให้เห็น

เพียงแค่ใช้

?

<form action="?" method="post" enctype="multipart/form-data" name="myForm" id="myForm">

ไม่ละเมิดมาตรฐาน HTML5

ฉันเคยทำสิ่งนี้บ่อยๆเมื่อฉันทำงานกับ Classic ASP โดยปกติฉันจะใช้เมื่อต้องการการตรวจสอบความถูกต้องฝั่งเซิร์ฟเวอร์สำหรับการป้อนข้อมูลบางอย่าง (ก่อนวัน AJAX) จุดประสงค์หลักที่ฉันเห็นคือมันไม่ได้แยกตรรกะการเขียนโปรแกรมจากงานนำเสนอที่ระดับไฟล์

ฉันใช้เพื่อไม่ระบุแอตทริบิวต์การกระทำเลย จริงๆแล้วมันเป็นวิธีการที่กรอบของฉันได้รับการออกแบบทุกหน้าได้รับการส่งกลับไปยังที่อยู่เดียวกันแน่นอน แต่วันนี้ฉันค้นพบปัญหา บางครั้งฉันยืมค่าแอ็ตทริบิวต์การดำเนินการเพื่อโทรหาแบ็คกราวน์ (ฉันเดาว่าบางคนตั้งชื่อพวกเขาว่า AJAX) ดังนั้นฉันจึงพบว่า IE เก็บค่าแอ็ตทริบิวต์การกระทำว่าว่างเปล่าหากไม่ได้ระบุแอททริบิวต์การกระทำ มันค่อนข้างแปลกในความเข้าใจของฉันเพราะถ้าไม่มีการระบุแอ็ตทริบิวต์การดำเนินการจาวาสคริปต์ JavaScript จะต้องไม่ถูกกำหนดอย่างน้อย อย่างไรก็ตามประเด็นของฉันคือก่อนที่คุณจะเลือกแนวทางปฏิบัติที่ดีที่สุดที่คุณต้องเข้าใจบริบทเพิ่มเติมเช่นคุณจะใช้คุณลักษณะใน JavaScript หรือไม่