PortSwigger Research：利用URL凭据隐藏载荷

PortSwigger Research分析了URL凭据部分在Chrome和Firefox中不可见但仍可影响页面脚本的行为差异。测试发现document.URL会保留凭据，而location不会；Firefox不编码凭据中的单引号，可用于DOM XSS，并可结合锚点username、password属性和DOM Clobbering控制对象。