為什麼不要把完整地址放進網址查詢參數？
不要把完整地址設計成 ?q=某某路某號 這類網址查詢參數。網址不是私密輸入框：它會出現在瀏覽器歷史、書籤、畫面截圖、複製貼上內容，也可能被伺服器、反向代理、分析服務或錯誤追蹤記錄。即使結果頁標示不公開，網址中的輸入仍可能沿著瀏覽與協作流程留下多份副本。較安全的起點，是讓地址留在表單或瀏覽器記憶體內，處理結果不靠含完整地址的永久網址保存。
地址進入網址後的可能路徑
| 路徑 | 可能留下什麼 | 驗證方式 |
|---|---|---|
| 瀏覽器歷史與同步 | 完整查詢網址 | 查看歷史、自動完成及同步裝置 |
| 分析服務 | page location、頁面標題或自訂事件 | 檢查 Network 請求內容 |
| 伺服器與代理紀錄 | 請求路徑、來源頁或查詢字串 | 核對紀錄欄位與保存設定 |
| 錯誤追蹤 | 當下網址、麵包屑與畫面狀態 | 用虛構資料觸發可控錯誤 |
| 客服與聊天 | 被複製的連結或截圖 | 貼出前檢查網址列 |
| 搜尋、預覽與快取 | 被其他服務擷取的頁面位置 | 確認結果不形成公開頁面 |
Google Analytics 的說明要求不得把可識別個人的資訊送進 Analytics，並提醒頁面網址與標題等欄位可能含有這類資料。這表示檢查不能只看自己命名的事件參數，也要看自動收集的 page location、目前網址、來源頁與錯誤內容。其他分析、廣告、客服或錯誤追蹤工具也要逐一實測，不能由隱私政策文字反推技術行為。
用虛構識別字實測
- 準備明確標示為測試用的字串，例如「範例市示範區學習路一段12號3樓」，不要使用真實私人地址。
- 開啟瀏覽器開發者工具的 Network 面板，清除既有請求，並保留測試開始時間。
- 在地址格式檢查工具輸入測試字串，確認網址列與重新導向位置都沒有出現原文。
- 逐筆查看送出的請求網址、查詢參數、表單內容、request payload 與第三方網域；找到測試字串就記錄端點和觸發動作。
- 觸發一次可控錯誤，再查看錯誤追蹤、主控台、支援平台與遠端紀錄是否包含測試字串。
- 重整頁面、返回上一頁、複製目前網址並查看瀏覽器歷史，確認輸入不會靠永久連結被還原。
- 依工具是否上傳輸入的檢查指南重跑修正前後測試，保存不含地址原文的結果摘要。
虛構地名可能讓工具回傳無法確認或錯誤，這不影響傳輸測試，因為此處要追蹤的是識別字是否離開瀏覽器，不是驗證地址格式。若要另外測試成功流程，可以改用公開機關公開地址，不附姓名、電話、案件編號或私人樓室；即使工具成功整理，也只代表格式與目前資料相符，不證明門牌存在或任何人居住在那裡。
前端修正不是唯一檢查點
如果原本網址會顯示地址，前端應改成不含輸入值的路由或單頁狀態，表單欄位也不應因 JavaScript 失效而用 GET 把值送進網址。接著檢查伺服器 access log、CDN、WAF、負載平衡器與錯誤平台是否曾記錄舊查詢字串，以及保存期限和存取權限是否符合組織規範。不要為了清理而擅自刪除正式紀錄；由有權責的人依事件流程決定保留證據、遮罩或其他處置。
分析工具方面，應確認自動頁面瀏覽事件、自訂事件、虛擬頁面名稱及除錯模式都沒有地址原文。客服流程則要避免要求使用者直接貼完整網址；可請對方提供時間、功能名稱、錯誤碼及遮罩截圖。需要分享截圖時先用地址遮罩工具降低精確位置，但仍要檢查姓名、電話、訂單號與罕見路名是否足以辨識個人。
如果要讓工作可以續接
可在本機保存不含地址原文的工作階段識別碼，或讓使用者自行下載結果；識別碼不應可被猜測後取得另一人的輸入。若產品必須讓使用者跨裝置取回資料，就已超出單純瀏覽器處理，需要明確的身分驗證、授權、保存期限與刪除機制，不能把地址塞進網址當作便宜的儲存方式。
驗收時至少由第二人完成一次新瀏覽器測試，並記錄「網址列未出現、Network 未送出、第三方事件未包含、錯誤紀錄未包含、歷史無法還原」五項結果。任何一項未確認，都應維持待修或無法確認，不要只因畫面沒有變化就宣稱資料從未傳出。