如何在Razor页面打开新标签页加载指定URL并记录访问日志？

核心思路 #

要实现「记录访问+新窗口打开外部链接」，同时避免重复提交和恶意注入，核心要解决三个问题：

1. 用Post请求记录访问，防止GET请求被刷新重复提交；
2. 严格验证URL合法性，禁止javascript:这类危险协议，避免注入攻击；
3. 通过表单的target="_blank"属性实现新窗口打开外部链接。

步骤1：创建处理访问记录的页面模型 #

新建RecordAccess.cshtml.cs页面模型，负责接收Post请求、记录访问日志并重定向到外部URL：

public class RecordAccessModel : PageModel
{
    private readonly ApplicationDbContext _context;

    public RecordAccessModel(ApplicationDbContext context)
    {
        _context = context;
    }

    public async Task<IActionResult> OnPostAsync(int id)
    {
        // 校验目标链接是否存在
        var link = await _context.Linx.FindAsync(id);
        if (link == null)
        {
            return NotFound();
        }

        // 验证URL合法性，仅允许http/https协议
        if (!IsValidExternalUrl(link.Url))
        {
            return BadRequest("无效的外部链接");
        }

        // 添加访问记录
        var accessLog = new LinkAccess
        {
            LinxID = id,
            LinkAccessDateTime = DateTime.Now.ToLocalTime(),
            IsAdded = true
        };
        _context.LinkAccess.Add(accessLog);
        await _context.SaveChangesAsync();

        // 重定向到外部URL，此操作会在新窗口中执行
        return Redirect(link.Url);
    }

    // 验证URL有效性的工具方法
    private bool IsValidExternalUrl(string url)
    {
        if (Uri.TryCreate(url, UriKind.Absolute, out Uri uri))
        {
            return uri.Scheme == Uri.UriSchemeHttp || uri.Scheme == Uri.UriSchemeHttps;
        }
        return false;
    }
}

步骤2：前端修改为表单提交 #

把原来的跳转链接替换为表单，用按钮模拟普通链接的样式，点击时提交Post请求并在新窗口打开：

@foreach (var link in Model.Links)
{
    <form asp-page="/RecordAccess" asp-route-id="@link.Id" method="post" target="_blank">
        @* Razor Pages自动生成防伪造令牌，防止CSRF攻击 *@
        <button type="submit" style="background:none; border:none; color:blue; text-decoration:underline; cursor:pointer;">
            @link.Description
        </button>
    </form>
}

原有方法失效原因说明 #

• Response.Redirect(redURL)失败：Redirect方法仅接受纯URL字符串，你传入的是HTML标签，无法被正确解析；
• RedirectToPage局限应用内：该方法仅支持跳转当前Razor应用内的页面，不支持外部URL跳转；
• GET请求易重复提交：如果用GET请求记录访问，用户刷新页面会重复执行日志写入逻辑，导致多条重复的LinkAccess数据。

额外安全提示 #

• 防伪造令牌：Razor Pages的form标签会自动生成__RequestVerificationToken，无需手动添加，可有效防止CSRF攻击；
• URL严格校验：必须过滤非http/https协议的链接，避免javascript:alert('xss')这类恶意注入；
• 避免手动拼接：永远不要直接将用户输入的内容拼接到HTML或URL中，这里通过Redirect方法自动处理编码，无需手动拼接。

内容的提问来源于stack exchange，提问作者AlMo320