如何用.NET Core内置机制判定URL是否属于可信域名？

核心思路 #

利用.NET内置的Uri类解析重定向URL，结合字符串匹配逻辑验证主机名是否为可信域名或其任意层级的子域名——既避免手动字符串拆分/正则的笨拙实现，又能有效防止恶意域名劫持（如myapp.glamorousclownmakeup.com.malicioushost.com这类伪装域名）。

实现方案 #

1. 定义可信域名列表：将所有允许的根域名存入不区分大小写的哈希集合，提升匹配效率。
2. 解析并验证URL：通过Uri.TryCreate确保输入是合法的绝对URL，再检查主机名是否完全匹配可信域名，或作为子域名以.可信域名结尾（此逻辑可避免子串误匹配）。

代码示例 #

using System;
using System.Collections.Generic;

public class RedirectValidator
{
    // 存储可信根域名，不区分大小写
    private readonly HashSet<string> _trustedRootDomains = new HashSet<string>(StringComparer.OrdinalIgnoreCase)
    {
        "glamorousclownmakeup.com",
        "yomommasougly.com",
        "lefthandedwidgets.com",
        "lefthandedwidgets.com.au"
    };

    public bool IsTrustedRedirectUrl(string redirectUrl)
    {
        // 先验证URL格式是否合法
        if (!Uri.TryCreate(redirectUrl, UriKind.Absolute, out Uri uri))
        {
            return false;
        }

        string host = uri.Host;

        foreach (var trustedDomain in _trustedRootDomains)
        {
            // 情况1：主机名与可信域名完全一致
            if (string.Equals(host, trustedDomain, StringComparison.OrdinalIgnoreCase))
            {
                return true;
            }

            // 情况2：主机名是可信域名的子域名（需以".可信域名"结尾，避免子串误判）
            if (host.EndsWith($".{trustedDomain}", StringComparison.OrdinalIgnoreCase))
            {
                return true;
            }
        }

        return false;
    }
}

关键说明 #

• 防劫持逻辑：通过.可信域名结尾的匹配规则，可有效排除myapp.glamorousclownmakeup.com.malicioushost.com这类恶意域名——它的结尾是.malicioushost.com，不会匹配glamorousclownmakeup.com。
• 多层子域名支持：无论子域层级多深（如myapp.eastcoast.sales.lefthandedwidgets.com），只要主机名以.lefthandedwidgets.com结尾，就会被判定为可信。
• 内置功能依赖：全程使用.NET Core原生的Uri类处理URL解析，HashSet和字符串方法实现匹配，无第三方依赖，符合优雅简洁的要求。

内容的提问来源于stack exchange，提问作者user610217