Phone Number Injections

Phone Number Injection

HTML直接拨打电话的实现方式主要包括：使用tel:协议、在移动设备上优化、确保与用户体验一致。其中，使用tel:协议是最常见且有效的方法。

使用tel:协议非常简单，只需在HTML的超链接中使用tel:协议即可。例如，<a href="tel:+1234567890">拨打电话</a>，用户点击该链接时，浏览器会自动调用默认的电话应用进行拨号。这种方式特别适用于移动设备，但在桌面浏览器中可能效果不佳，因此需要考虑多种场景下的用户体验优化。

It's possible to add strings at the end the phone number that could be used to exploit common injections (XSS, SQLi, SSRF...) or even to bypass protections:

JavaScript

payload:

# xss
+<number>;<pram>=<script>alert(0)</script>
# SSRF
+<number>;<pram>=<file>

Refer

HTML 如何在移动设备上创建拨打电话号码的超链接|极客笔记

html 如何直接拨打电话 | PingCode智库