如何修复Veracode扫描检测到的CWE-601开放重定向漏洞？

你的原重定向代码function redirect(url){ window.location=url }被Veracode扫描出CWE-601漏洞，用encodeURI(url)没用是因为它仅对URL特殊字符编码，根本没限制跳转的目标域名，自然解决不了开放重定向问题。而你写的sameOrigin函数存在字符串拼接的空格错误（比如${origin} /里的多余空格），导致验证逻辑失效，下面给你几个可行的修复方案：

1. 修复并优化同源验证函数 #

原函数的字符串切片判断有空格错误，而且逻辑重复，改用标准的URL API来解析验证更可靠，避免字符串处理的漏洞：

function isSameOrigin(url) {
  // 解析传入的URL，基于当前页面源补全相对路径
  const targetUrl = new URL(url, window.location.origin);
  // 对比当前页面的源与目标URL的源
  const currentOrigin = window.location.origin;
  return targetUrl.origin === currentOrigin;
}

function safeRedirect(url) {
  // 验证通过则跳转，否则跳转到默认可信路径
  const validUrl = isSameOrigin(url) ? url : '/';
  window.location.href = validUrl;
}

这个方案利用浏览器原生的URL API解析URL，能准确判断目标URL是否和当前页面同源，避免手动字符串处理的遗漏。

2. 强制限制为相对路径跳转 #

如果你的业务场景只需要跳转到本站内的页面，可以直接禁止任何绝对URL，只允许相对路径：

function safeRedirect(url) {
  // 检查是否为相对路径（不以//、http://、https://开头）
  const isRelative = !/^(\/\/|http:|https:)/i.test(url);
  // 只允许相对路径，否则跳转到根目录
  window.location.href = isRelative ? url : '/';
}

这种方式简单直接，完全杜绝跨域跳转的可能，适合不需要跨域跳转的场景。

3. 允许指定可信域名（如果有固定可信域名） #

如果偶尔需要跳转到几个固定的可信外部域名，可以维护一个小型的可信域名列表，不用覆盖所有有效URL：

const TRUSTED_DOMAINS = ['your-trusted-domain.com', 'another-trusted-domain.org'];

function isTrustedUrl(url) {
  const targetUrl = new URL(url, window.location.origin);
  return TRUSTED_DOMAINS.includes(targetUrl.hostname) || targetUrl.origin === window.location.origin;
}

function safeRedirect(url) {
  const validUrl = isTrustedUrl(url) ? url : '/';
  window.location.href = validUrl;
}

这种方式兼顾了少量跨域跳转的需求，同时避免维护全量有效URL的麻烦。

关键注意点 #

• 不要用window.location=url，改用window.location.href=url，语义更明确，部分扫描工具对前者的风险判定更严格。
• 前端验证仅作为辅助手段，若后端也存在重定向逻辑，必须同步在后端做同源/可信域名验证，这才是防范该漏洞的核心。

内容的提问来源于stack exchange，提问作者user3106347