Mi chiedo se qualcuno possa fornire una risposta "best practice" all'utilizzo di azioni di moduli HTML vuoti per pubblicare di nuovo nella pagina corrente.
C'è un post che chiede cosa fa un'azione di modulo HTML vuoto qui e alcune pagine come questa suggeriscono che va bene, ma mi piacerebbe sapere cosa pensano le persone.
<form name="xyz" >). Inoltrerà l'azione da solo.
Risposte:
La cosa migliore che puoi fare è tralasciare completamente l'attributo action. Se lo tralasciate, il modulo verrà inviato all'indirizzo del documento, ovvero la stessa pagina.
È anche possibile lasciarlo vuoto e qualsiasi browser che implementa l'algoritmo di invio del modulo HTML lo tratterà come equivalente all'indirizzo del documento, cosa che fa principalmente perché è così che funzionano i browser attualmente:
8.Lascia che l'azione sia l' azione dell'elemento mittente .
9.Se action è la stringa vuota, lascia che action sia l'indirizzo del documento .Nota: questo passaggio costituisce una violazione intenzionale dell'RFC 3986, che richiederebbe l'elaborazione dell'URL di base qui. Questa violazione è motivata dal desiderio di compatibilità con i contenuti precedenti. [RFC3986]
Funziona sicuramente in tutti i browser attuali, ma potrebbe non funzionare come previsto in alcuni browser meno recenti ( "i browser fanno cose strane con un'azione vuota =" "attributo " ), motivo per cui le specifiche scoraggiano fortemente gli autori dal lasciarlo vuoto :
Gli attributi
actioneformactioncontent, se specificati, devono avere un valore che è un URL valido non vuoto potenzialmente circondato da spazi .
action=""- vedi la mia risposta ...
In realtà, la sottosezione Invio modulo dell'attuale bozza HTML5 non lo consente action="". È contro le specifiche.
Gli attributi
actioneformactioncontent, se specificati, devono avere un valore che è un URL valido non vuoto potenzialmente circondato da spazi. (enfasi aggiunta)
La sezione citata nella risposta di Mercator è un requisito per le implementazioni , non per gli autori . Gli autori devono seguire i requisiti dell'autore. Per citare Come leggere questa specifica :
In particolare, esistono requisiti di conformità che si applicano ai produttori, ad esempio gli autori e i documenti che creano, e ci sono requisiti di conformità che si applicano ai consumatori, ad esempio i browser Web. Possono essere distinti in base a ciò che richiedono: un requisito per un produttore afferma ciò che è consentito, mentre un requisito per un consumatore stabilisce come deve agire il software.
La modifica da HTML4, che consentiva un URL vuoto, è stata apportata perché "i browser fanno cose strane con un action=""attributo vuoto ". Considerando il motivo del cambiamento, probabilmente è meglio non farlo neanche in HTML4.
actiondell'attributo per indicare il modulo da inviare all'indirizzo del documento? Sembra, dal momento che dice, "se specificato".
Non includere l'attributo action apre la pagina agli attacchi di clickjacking iframe , che comportano pochi semplici passaggi:
Riferimenti
$_POSTinvece di $_REQUESTper evitare questo. Se il codice del framework utilizza $_REQUEST, utilizza un buster iframe .
Questo verrà convalidato con HTML5.
<form action="#">
action="."?
action="."è una cattiva idea per il caso generale. Un URL simile example.com/loginè mappato semplicemente example.com/.
IN HTML 5 action=""NON È SUPPORTATO QUINDI NON FARLO. CATTIVA PRATICA.
Se invece annulli completamente l'azione verrà inviata alla stessa pagina per impostazione predefinita, credo che questa sia la migliore pratica:
<form>This will submit to the current page</form>
Se stai compilando il modulo usando php potresti prendere in considerazione quanto segue. Per saperne di più qui.
<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">
In alternativa puoi usare, #tieni presente che questo fungerà da ancora e scorrerà fino all'inizio della pagina.
<form action="#">
htmlspecialchars()funzione impedisce alle persone di utilizzare il tuo script php contro di te.
Normalmente utilizzo action = "", che è valido per XHTML e conserva i dati GET nell'URL.
Penso che sia meglio indicare esplicitamente dove viene pubblicato il modulo. Se vuoi essere totalmente al sicuro, inserisci lo stesso URL in cui si trova il modulo nell'attributo action se vuoi che venga reinviato a se stesso. Sebbene i browser tradizionali valutino ""la stessa pagina, non puoi garantire che i browser non tradizionali lo faranno.
E, naturalmente, l'intero URL, inclusi i dati GET come sottolinea Juddling.
Basta usare
?
<form action="?" method="post" enctype="multipart/form-data" name="myForm" id="myForm">
Non viola gli standard HTML5.
getparametri. Un modulo sul seguente URL si interromperà example.com/update_user?user_id=1perché il modulo verrà example.com/update_user?
Lo facevo spesso quando lavoravo con Classic ASP. Di solito lo usavo quando era necessaria una convalida lato server di qualche tipo per l'input (prima dei giorni di AJAX). Lo svantaggio principale che vedo è che non separa la logica di programmazione dalla presentazione, a livello di file.
Uso per non specificare affatto l'attributo di azione. In realtà è il modo in cui è progettato il mio framework, tutte le pagine vengono inviate esattamente allo stesso indirizzo. Ma oggi ho scoperto il problema. A volte prendo in prestito il valore dell'attributo di azione per effettuare una chiamata in background (immagino che alcune persone li chiamino AJAX). Quindi ho scoperto che IE mantiene il valore dell'attributo di azione vuoto se l'attributo di azione non è stato specificato. È un po 'strano nella mia comprensione, poiché se non viene specificato alcun attributo di azione, la controparte JavaScript deve essere almeno indefinita. Ad ogni modo, il mio punto è prima di scegliere la migliore pratica è necessario comprendere più contesto, ad esempio utilizzerai l'attributo in JavaScript o meno.
Quando metti un'azione vuota, alcuni filtri di sicurezza la considerano dannosa o phishing. Quindi possono bloccare la tua pagina. Quindi è consigliabile non mantenere action = blank.