写在前面
为预防钓鱼网站的常用套路,在进行 Web 应用程序的开发时,原则上应该将所有由用户提交的数据视为不可信。如果应用程序中包含了基于 URL 内容重定向的功能,需要确保这种类型的重定向操作只能在应用本地完成,或者明确判断其重定向到的是已知 URL,绝不能是 querystring 中可能包含的任何 URL。
在 ASP.NET Core 的 MVC基类中就提供了两种判断是否为本地URL的方法,这边做个记录;
两个方法分别为:LocalRedirect 和 IsLocalUrl 。
代码实现
public ActionResult Index()
{
return Content("Index");
}
public IActionResult SomeAction(string redirectUrl)
{
return LocalRedirect(redirectUrl);
}
private IActionResult RedirectToLocal(string returnUrl)
{
if (Url.IsLocalUrl(returnUrl))
{
return Redirect(returnUrl);
}
else
{
return RedirectToAction(nameof(WeatherForecastController.Index), "WeatherForecastController");
}
}