Ideia principal

Para tirar um texto de uma conversa e mandá-lo para um servidor pessoal, dá para disfarçar uma escrita de leitura: em vez de enviar os dados, você os coloca no endereço de uma página web e pede ao assistente para consultar essa página. Do lado do servidor, o truque funciona perfeitamente — pelo navegador, por linha de comando.

Ele falha assim que é o assistente quem fabrica o endereço a partir do conteúdo da troca e depois o consulta. As proteções de navegação dele bloqueiam a operação.

A razão é que a proteção não incide sobre a forma da requisição, e sim sobre quem a fabrica e com o quê. Disfarçar a requisição não muda nada nesses dois parâmetros.

Por que isso importa

Isso dá um critério antes de você investir em um contorno: do que depende a restrição? Se ela depende da forma — um método, um tipo de chamada —, disfarçar pode funcionar. Se ela depende do ator ou da origem dos dados, nenhum disfarce vai dar certo, e o tempo gasto será perdido.

Aliás, a falha é coerente: o mecanismo mirava exatamente o que você estava tentando fazer, tirar automaticamente conteúdo de conversa para um servidor de terceiros.

Nuances e limites

A constatação vale para as proteções observadas aqui, em um dado momento. Elas evoluem, e nada garante que fiquem no mesmo lugar.

E ela não diz nada sobre a legitimidade do contorno: um uso pessoal e um uso desviado esbarram no mesmo muro, com boas razões em apenas um dos casos.

Questões em aberto

• Como identificar, sem testar tudo, sobre o que uma restrição realmente incide?