whitelist URL parameters