302 跳转参数中的 returnUrl，检测到 returnUrl 开头不是/就强制加一个/是不是就能防止被用于跳转到违规网站了？
edis0n0 · 2023-02-16 22:19:42 +08:00 · 1524 次点击这是一个创建于 652 天前的主题，其中的信息可能已经有所发展或是发生改变。
 |
3
thinkershare 2023-02-16 23:29:54 +08:00
302 跳转为啥会跳到其它地方？ 302 的 HTTP Respone 不是你的服务器返回的吗？服务器不能确保跳转地址的有效性？？
|
 |
4
edis0n0 OP 创建新回复过程中遇到一些问题：
请不要在每一个回复中都包括外链，这看起来像是在 spamming |
|
5
edis0n0 OP @thinkershare 例如登录页面的跳转，/login?returnUrl=/example ，就会 302 到 /example ，怕有人利用这个 return 到山寨网站 例如 /login?returnUrl=ht tp://sca m.com 有用户可能只看开头的域名没问题就觉得没问题
|
 |
6
rozbo 2023-02-16 23:45:13 +08:00
跳转的时候一般前面要放个中转页，这个中转页可以有 ui(就像某贴吧某乎等)，提醒用户即将跳到外站，也可以没有中转页，根据配置的 white list 可以直接进行 block
BTW ， 作为系统的开发者，我们往往不要对数据进行修改操作，因为这样会导致后期排查问题的复杂度指数级的提升 |
 |
7
GeruzoniAnsasu 2023-02-17 00:00:45 +08:00
后端处理一下 returnUrl 这个参数只对白名单返回 302 不就行了……？
|
 |
8
xiangyuecn 2023-02-17 00:31:30 +08:00
// 打头的是有效的含任意主机域名的 url ，只是缺了协议，会自动补全协议
你是 http:，那就跳到 http://🐶 你是 https:，那就跳到 https://🐶 你是 ftp:，那就跳到 ftp://🐶 --- 深挖一点，你 302 /path 前面主机、协议都缺了，自动根据当前的 url 进行补全 相对路径补全操作更复杂，还有 /../../../ 套娃😂 |
 |
9
piku 2023-02-17 07:48:33 +08:00 via Android
如果地址不以 /开头，则加上 /。想了想的确挺靠谱。
但是很多网站是跨域名登录，这种情况就不行了，可能要把整个 url 拆分，校验协议、主机没问题，才能跳到指定的路径。 |
Select Language