허용 목록이 URL 문자열의 접두사만 검사한다. `https://trusted.example@evil.example/`가 통과했다. 원인은?

1. 1

   표준 URL 파서로 userinfo와 host를 분리하지 않고 문자열 접두사만 비교했다.

2. 2

   URL을 파싱한 뒤 실제 host가 정확히 trusted.example인지 비교했다.

3. 3

   userinfo를 허용하지 않고 scheme·host·port를 정규화한 뒤 허용 목록과 대조했다.

4. 4

   허용된 host를 확인한 뒤 연결 직전 DNS 해석 결과도 정책 범위인지 검증했다.