跳至主要內容
>_ITDITD網站資安平台

網站透明度檢測器

聲稱「輸入僅在瀏覽器內完成」的工具,真的如此嗎?輸入一個 URL,本工具透過靜態分析視覺化該頁面可能向哪些外部目標傳送資料:外部傳送目標、追蹤器和外部表單。給出的是「線索」,而非定論。

本工具由本站的伺服器對目標 URL 僅抓取一次並進行靜態分析(傳送的只有你輸入的 URL,而非你的程式碼或輸入內容)。對內部 / 私有位址的存取已被阻斷。
用範例試一試(解析本站自身)

未發現將你的輸入傳送到外部的明確跡象(沒有外部表單,也沒有未知的第三方指令碼)。下方的解析 / 廣告標籤是出於追蹤目的,與輸入是否被外送是兩回事。請在 DevTools 中確切核實。

解析對象: https://itdef.net/ja

未知的第三方指令碼(可能讀取輸入)
向外部提交的表單
解析 / 廣告標籤(追蹤)
  • Google AdSense
  • Google Tag Manager
外部指令碼 / 資源的來源
  • pagead2.googlesyndication.com
  • www.googletagmanager.com

「解析 / 廣告標籤」和「外部資源的來源」大多用於追蹤——這與「你的輸入是否被外送」屬於不同的判斷維度(大多數網站都會使用它們)。

設定了 Cookie:

⚠️ 靜態分析能表明頁面「有可能」向外部傳送資料,卻無法證明它「不會」傳送(會遺漏混淆、點擊時才傳送等情況)。唯一可靠的確認方式是:在你實際使用該工具時,透過瀏覽器的 DevTools → Network(網路)標籤頁觀察通訊。

真正的確認方法(DevTools)

  1. 1開啟要檢查的頁面,按 F12(或右鍵 → 檢查)開啟開發人員工具。
  2. 2開啟「Network(網路)」標籤頁,確保處於記錄狀態。
  3. 3實際使用該工具並操作,觀察是否有新的通訊(Fetch/XHR/WS)發往外部網域。
  4. 4若完全沒有外送請求,則該頁面(就該操作而言)確屬瀏覽器內完成。

SSRF

使用方法

  1. 1

    貼上一個聲稱「僅在瀏覽器內完成」的工具的 URL。

  2. 2

    本工具會靜態分析該頁面所載入的外部傳送目標、追蹤器、外部表單以及傳送類程式碼。

  3. 3

    結果只是「線索」。最終確認請在你的 DevTools 網路標籤頁中進行(見下方)。

為什麼重要

一個聲稱「隱私」的工具是否真正私密,從外部無法被完全證明(瀏覽器的 CORS 讓你無法窺探其他網站的執行階段行為,而靜態分析也無法證明「不會傳送」)。因此本工具不下定論——它視覺化資料可能流向何處,並把可靠的驗證方法(DevTools)交到你手中。本站自身也不例外:解析這裡就能看到廣告 / 解析標籤——不加隱瞞才是誠實的做法。

常見問題

Q「外部傳送目標為零=安全」能這樣斷言嗎?
A

不能。靜態分析會遺漏混淆、動態或點擊時才傳送的情況。「零」意味著「靜態分析未發現」,而非證明。可靠的確認方式是你的 DevTools 網路標籤頁。

Q為什麼不能只用瀏覽器(無伺服器)來做?
A

瀏覽器的 CORS 限制使一個頁面無法觀測其他來源的執行階段請求,因此對目標 URL 的抓取與解析在伺服器端進行(傳送的只有該 URL)。

Q檢測別人的網站可以嗎?
A

本工具只對目標頁面抓取一次並做靜態分析,不進行主動掃描或攻擊(與在瀏覽器中正常開啟它的範圍相同)。內部 / 私有位址已被阻斷。

相關頁面