Svelte中登录重定向后如何返回原页面？能否用Referer头？

一、通过查询参数传递原页面地址（推荐方案） #

最可靠的方式是在重定向到登录页时，把用户原本访问的页面路径作为查询参数带上，登录成功后再读取这个参数跳转回去。

1. 在+layout.ts的load函数中配置重定向逻辑：

import { redirect } from '@sveltejs/kit';

export async function load({ url, locals }) {
  // 假设locals.user用于判断用户是否已登录
  if (!locals.user) {
    // 拼接当前页面的完整路径（包含查询参数）
    const targetPath = url.pathname + url.search;
    // 对路径编码后作为redirectTo参数传递
    throw redirect(302, `/login?redirectTo=${encodeURIComponent(targetPath)}`);
  }
}

2. 在登录页的服务端处理逻辑（比如+page.server.ts）中，登录成功后读取参数并跳转：

import { redirect } from '@sveltejs/kit';

export async function actions({ request, url, locals }) {
  const formData = await request.formData();
  const email = formData.get('email') as string;
  const password = formData.get('password') as string;

  // 执行你的登录验证逻辑
  const user = await yourAuthService.login(email, password);
  
  if (user) {
    locals.user = user;
    // 获取redirectTo参数，默认跳转到首页
    const redirectTo = url.searchParams.get('redirectTo') || '/';
    // 跳转前做安全校验，防止恶意跳转
    if (!redirectTo.startsWith('/')) {
      throw redirect(302, '/');
    }
    throw redirect(302, decodeURIComponent(redirectTo));
  }

  // 登录失败返回错误信息
  return { error: '邮箱或密码错误' };
}

二、关于使用Referer头的可行性 #

可以用，但不推荐。原因如下：

• Referer头由浏览器自动发送，可能被用户通过浏览器设置、隐私插件禁用，导致无法获取原页面地址；
• 在跨协议（比如HTTPS跳转HTTP）或某些特殊请求场景下，浏览器不会发送Referer头，可靠性无法保证。

额外注意事项 #

一定要对redirectTo参数做安全校验，只允许跳转到本站内的路径，避免开放重定向攻击。比如可以写一个简单的校验函数：

function isSafeRedirect(targetUrl: string) {
  // 校验是否为本站相对路径或同域名绝对路径
  return targetUrl.startsWith('/') || new URL(targetUrl).origin === import.meta.env.VITE_APP_ORIGIN;
}

内容的提问来源于stack exchange，提问作者Jindrich Vavruska