多部署主机下Open Redirect漏洞的修复方案咨询

针对多部署环境下的Open Redirect漏洞修复需求，以下是几个能通过Snyk检测的可靠方案：

1. 后端注入可信主机/Origin #

前端不要自行获取当前主机名，改为由后端在页面渲染时注入可信的origin或主机名到全局变量中（比如<script>window.TRUSTED_ORIGIN = "https://your-host.tld";</script>），前端直接使用这个后端提供的值拼接路径：

const safePath = DOMPurify.sanitize(data.href);
// 确保路径是相对路径，避免传入绝对URL
if (!safePath.startsWith('/')) {
  window.location.href = '/';
} else {
  window.location.href = `${window.TRUSTED_ORIGIN}${safePath}`;
}

这种方式的核心是可信源由后端控制，而非前端动态获取，Snyk会认可这种硬编码级别的可信输入。

2. 强制限制为相对路径并基于当前Origin构造URL #

严格校验跳转目标必须是相对路径，再通过new URL基于当前origin构造安全的绝对URL，确保跳转始终在当前域名下：

const sanitizedPath = DOMPurify.sanitize(data.href);

// 拦截所有绝对URL、协议相对URL
const invalidPattern = /^(https?:\/\/|\/\/)/;
if (invalidPattern.test(sanitizedPath) || !sanitizedPath.startsWith('/')) {
  // 非法跳转，默认跳转到首页或错误页
  window.location.href = '/';
  return;
}

// 基于当前可信Origin构造安全URL
const safeUrl = new URL(sanitizedPath, window.location.origin);
window.location.href = safeUrl.href;

这里的关键是通过前置校验排除所有跨域跳转的可能，再用浏览器原生的URL解析确保路径合法，避免构造出恶意URL。

3. 构建时注入静态白名单 #

如果必须支持多个可信域名，可在构建阶段根据环境变量注入静态的可信Origin白名单，而非运行时动态获取：

• 构建工具（如Webpack/Vite）中配置环境变量，比如TRUSTED_ORIGINS='["https://host1.tld", "https://host2.tld"]'
• 前端代码中直接使用这个静态白名单校验：

const TRUSTED_ORIGINS = JSON.parse(process.env.TRUSTED_ORIGINS);
const sanitizedHref = DOMPurify.sanitize(data.href);

try {
  const targetUrl = new URL(sanitizedHref, window.location.origin);
  if (TRUSTED_ORIGINS.includes(targetUrl.origin)) {
    window.location.href = targetUrl.href;
  } else {
    window.location.href = '/';
  }
} catch (e) {
  // 解析失败，跳转到默认页
  window.location.href = '/';
}

因为白名单是构建时硬编码到代码中的，而非运行时动态获取，Snyk会识别为可信的安全校验逻辑。

内容的提问来源于stack exchange，提问作者Lennart