登录页面常用返回地址把用户带回原页面。如果服务器直接使用外部输入作为跳转目标，可信域名的链接也可能把用户送往其他网站。防护应从目标选择规则开始。
优先使用服务器维护的目标映射
如果只需要跳回个人中心或订单页，可以让客户端传递短标识，由服务器映射到固定地址。未知标识回到安全默认页或报错。这样比允许任意网址后再试图排除危险字符串更容易审查。
允许访问与允许跳转分别检查
目的页面即使属于本站，也必须执行自己的身份与对象权限校验。不能因为请求从登录流程跳过来就认为它已获得全部访问权。允许外部跳转的业务还应明确展示目标，并用可靠URL解析与允许列表验证。
使用虚构地址验收边界
为自有测试环境准备已知标识、未知标识和一个外站地址输入，检查实际Location是否符合设计，拒绝后有没有继续执行后续逻辑。不要把真实令牌放进网址截图或日志。本文没有探测第三方站点或改动本站登录流程。
资料与继续学习
OWASP：未验证的重定向与转发。资料查阅日期：2026年10月3日。步骤与练习由本站整理。
资料查阅与编辑日期：2026年10月3日。作者：玖柒。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
