Czy dobrą praktyką jest używanie pustego adresu URL dla atrybutu akcji formularza HTML? (akcja = „”)

Zastanawiam się, czy ktokolwiek może udzielić odpowiedzi „najlepszych praktyk” na użycie pustych działań formularza HTML w celu opublikowania z powrotem na bieżącej stronie.

Jest post z pytaniem, co robi tutaj pusta czynność formularza HTML, a niektóre strony takie jak ta sugerują, że jest w porządku, ale chciałbym wiedzieć, co ludzie myślą.

Najlepsze, co możesz zrobić, to całkowicie pominąć atrybut akcji. Jeśli go pominiesz, formularz zostanie przesłany na adres dokumentu, tj. Tę samą stronę.

Możliwe jest również pozostawienie go pustego, a każda przeglądarka implementująca algorytm przesyłania formularzy HTML będzie traktować go jako równoważny adresowi dokumentu, co dzieje się głównie dlatego, że tak właśnie działają przeglądarki:

8.Niech akcja będzie działaniem elementu wysyłającego .

9.Jeśli akcja jest pustym ciągiem, niech akcja będzie adresem dokumentu .

Uwaga: ten krok jest umyślnym naruszeniem RFC 3986, co wymagałoby tutaj przetwarzania podstawowego adresu URL. Przyczyną tego naruszenia jest chęć zgodności ze starszymi treściami. [RFC3986]

To z pewnością działa we wszystkich obecnych przeglądarkach, ale może nie działać zgodnie z oczekiwaniami w niektórych starszych przeglądarkach ( „ przeglądarki robią dziwne rzeczy z pustym atrybutem action =” „ ) ” , dlatego specyfika zdecydowanie odradza autorom pozostawienie go pustym :

Te actioni formactiontreści atrybuty, jeżeli został on określony, musi mieć wartość, która jest ważna niepusty URL potencjalnie otoczony spacjami .

W rzeczywistości podsekcja Zgłaszanie formularzy bieżącego szkicu HTML5 nie pozwala action="". Jest to niezgodne ze specyfikacją.

Te actioni formactiontreści atrybuty, jeżeli został on określony, musi mieć wartość, która jest ważna niepusty URL potencjalnie otoczony spacjami. (podkreślenie dodane)

Cytowana sekcja w odpowiedzi mercatora jest wymogiem dotyczącym implementacji , a nie autorów . Autorzy muszą przestrzegać wymagań autora. Cytując Jak czytać tę specyfikację :

W szczególności istnieją wymagania dotyczące zgodności, które dotyczą producentów, na przykład autorów i tworzonych przez nich dokumentów, a także wymagania dotyczące zgodności, które dotyczą konsumentów, na przykład przeglądarek internetowych. Można je rozróżnić według tego, czego wymagają: wymóg producenta określa, co jest dozwolone, zaś wymóg konsumenta określa sposób działania oprogramowania.

Zmiana z HTML4 - która pozwoliła na pusty adres URL - została wprowadzona, ponieważ „ przeglądarki robią dziwne rzeczy z pustym action=""atrybutem ”. Biorąc pod uwagę powód zmiany, prawdopodobnie najlepiej nie robić tego również w HTML4.

Brak atrybutu action powoduje otwarcie strony na ataki typu „ clickjacking” iframe , które obejmują kilka prostych kroków:

• Osoba atakująca otacza twoją stronę ramką iframe
• Adres URL elementu iframe zawiera parametr zapytania o tej samej nazwie co pole formularza
• Po przesłaniu formularza wartość zapytania jest wstawiana do bazy danych
• Informacje identyfikujące użytkownika (adres e-mail, adres itp.) Zostały naruszone

Bibliografia

• Omijanie zabezpieczeń CSRF za pomocą ClickJacking i zanieczyszczenia parametrów HTTP

Spowoduje to sprawdzenie poprawności w HTML5.

<form action="#">

W HTML 5 action=""NIE JEST OBSŁUGIWANE, więc NIE Rób tego. ZŁA PRAKTYKA.

Jeśli zamiast tego całkowicie zignorujesz działanie, domyślnie zostanie ono przesłane na tę samą stronę, uważam, że jest to najlepsza praktyka:

<form>This will submit to the current page</form>

Jeśli wypełniasz formularz przy użyciu php, możesz rozważyć następujące kwestie. czytaj więcej o tym tutaj.

<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">

Możesz też #pamiętać, że będzie to działać jak kotwica i przewiń na górę strony.

<form action="#">

Zwykle używam akcji = "", która jest poprawna w XHTML i zachowuje dane GET w adresie URL.

Myślę, że najlepiej jest wyraźnie określić, gdzie znajduje się formularz. Jeśli chcesz być całkowicie bezpieczny, wpisz ten sam adres URL, w którym znajduje się formularz, w atrybucie akcji, jeśli chcesz, aby przesłał się z powrotem do siebie. Mimo że przeglądarki głównego nurtu oceniają ""tę samą stronę, nie można zagwarantować, że zrobią to przeglądarki inne niż ogólne.

I oczywiście cały URL, w tym dane GET, takie jak Juddling, wskazuje.

Po prostu użyj

?

<form action="?" method="post" enctype="multipart/form-data" name="myForm" id="myForm">

Nie narusza standardów HTML5.

Często to robiłem, kiedy pracowałem z Classic ASP. Zwykle używałem go, gdy potrzebna była jakaś weryfikacja po stronie serwera dla danych wejściowych (przed dniami AJAX). Główną wadą, którą widzę, jest to, że nie oddziela logiki programowania od prezentacji na poziomie plików.

Używam, aby w ogóle nie określać atrybutu akcji. Tak naprawdę jest zaprojektowany mój framework, wszystkie strony są przesyłane z powrotem dokładnie pod ten sam adres. Ale dzisiaj odkryłem problem. Czasami pożyczam wartość atrybutu akcji, aby wykonać jakieś wywołanie w tle (chyba niektórzy nazywają je AJAX). Stwierdziłem więc, że IE zachowuje wartość atrybutu akcji jako pustą, jeśli atrybut akcji nie został określony. W moim rozumieniu jest to trochę dziwne, ponieważ jeśli nie określono atrybutu akcji, odpowiednik JavaScript musi być co najmniej niezdefiniowany. W każdym razie, moim celem jest, zanim wybierzesz najlepszą praktykę, musisz zrozumieć więcej kontekstu, na przykład czy użyjesz atrybutu w JavaScript, czy nie.