多次重定向下的Referrer异常：Rails+Cognito授权流程问题排查

1. 这种行为是正常的 #

你观察到的情况完全符合浏览器的Referrer机制和Cognito的重定向逻辑：

• 当用户从第三方身份提供商（IdP）完成认证后跳回Cognito，再由Cognito重定向到你的回调端点时，浏览器会将**最后一次用户主动交互的页面（即第三方IdP的页面）**作为Referrer传递，而非Cognito的域名。
• 如果用户没有经过第三方IdP直接在Cognito完成认证，浏览器会保留最初从你的客户端应用跳转时的Referrer——因为Cognito的登录页面是无用户交互的自动重定向（302），浏览器不会将这类自动重定向的发起方地址作为Referrer。

2. 并非Cognito主动隐藏域名 #

这不是Cognito为了安全刻意隐藏域名，而是浏览器默认Referrer Policy导致的。对于跨域的自动重定向（用户未主动点击交互），浏览器通常不会传递重定向发起方的地址，而是保留之前的交互页面Referrer，这本身就是一种安全机制，避免不必要的域名信息泄露。

3. 获取直接上一个来源的可行方案 #

既然依赖request.referrer不可靠，你可以通过以下两种更可靠的方式追踪跳转路径：

方案一：利用Cognito的state参数

在生成跳转到Cognito的授权URL时，将你需要追踪的来源信息（比如原客户端地址、你的oauth2/login端点标识）加密后嵌入state参数中：

# 在你的oauth2/login控制器动作中
encrypted_source = encrypt(request.referrer) # 自定义加密逻辑
auth_url = cognito_client.auth_code.authorize_url(
  redirect_uri: callback_url,
  state: encrypted_source
)
redirect_to auth_url

当Cognito回调到你的服务器时，解析params[:state]并解密，就能获取到跳转前的来源信息。这种方式符合OAuth2的安全规范，state参数本身就是用来防止CSRF和追踪请求上下文的。

方案二：服务器端会话存储

在用户跳转到Cognito之前，将来源信息存入服务器会话：

# 在oauth2/login动作中
session[:cognito_original_referrer] = request.referrer
redirect_to cognito_auth_url

当Cognito回调到你的回调端点时，直接从会话中读取这个值：

# 在oauth2/callback动作中
original_referrer = session[:cognito_original_referrer]
# 后续逻辑处理
session.delete(:cognito_original_referrer) # 用完及时清除

这种方式简单直接，适合使用服务器端会话的Rails应用，注意要确保会话的安全性（比如启用HTTPS、设置合适的会话过期时间）。

重要提醒 #

不要将request.referrer作为核心安全验证的依据——Referrer可以被浏览器策略限制、用户篡改或丢失。推荐结合Cognito的授权码验证（验证code的合法性）和上述的state/会话机制来确保请求来源的合法性。

内容的提问来源于stack exchange，提问作者Ryan Pierce Williams