ASP.NET MVC 5实现登录后跳转至指定视图的技术问题

• 步骤1：构造带返回地址的邮件链接
  发送邮件时，生成包含returnUrl参数的登录链接，示例：
  https://yourdomain.com/Account/Login?returnUrl=/Orders/Detail/123
  其中/Orders/Detail/123就是用户登录后需跳转的目标地址。

• 步骤2：修改Login方法接收并处理returnUrl参数
  在Login方法参数中添加string returnUrl，登录验证通过后判断地址合法性，合法则使用指定地址，否则返回默认首页：

  [AllowAnonymous]
  public JsonResult Login(string usuario, string contrasena, string returnUrl) {
          Response respuesta = new Response();
          LoginVM _usuarioResponse = new LoginVM();
          try
          {
             mensaje = // 数据库登录验证逻辑
              if (mensaje == "ok")
              {
                  // 保留你的用户身份验证逻辑（如设置Session、Cookie等）
                  respuesta.status = Status.Success;
                  respuesta.message = mensaje;
                  
                  // 处理跳转地址：验证合法性后选择目标地址
                  if (!string.IsNullOrEmpty(returnUrl) && Url.IsLocalUrl(returnUrl))
                  {
                      respuesta.result = returnUrl;
                  }
                  else
                  {
                      respuesta.result = Url.Action("Index","Home");
                  }
              }
              else
              {
                  respuesta.status = Status.Error;
                  respuesta.message = mensaje;
              }
          }
          catch (Exception ex)
          {
              respuesta.status = Status.Error;
              respuesta.message = ex.Message;
              respuesta.result = ex.ToString();
          }
          return Json(respuesta, JsonRequestBehavior.AllowGet);
      }
  

• 步骤3：前端处理跳转逻辑
  登录请求成功后，根据接口返回的地址完成页面跳转（以jQuery为例）：

  $.post('/Account/Login', { 
      usuario: $('#usuario').val(), 
      contrasena: $('#contrasena').val(), 
      returnUrl: getUrlParameter('returnUrl') 
  }, function(data) {
      if (data.status === 'Success') {
          window.location.href = data.result;
      } else {
          alert(data.message);
      }
  });
  
  // 辅助函数：获取URL中的参数值
  function getUrlParameter(name) {
      name = name.replace(/[\[]/, '\\[').replace(/[\]]/, '\\]');
      var regex = new RegExp('[\\?&]' + name + '=([^&#]*)');
      var results = regex.exec(location.search);
      return results === null ? '' : decodeURIComponent(results[1].replace(/\+/g, ' '));
  }
  

• 关键注意事项

  • 必须用Url.IsLocalUrl(returnUrl)验证地址合法性，防止开放重定向攻击，避免用户被引导至恶意网站。
  • 邮件中的returnUrl需做URL编码，尤其是包含特殊字符或多参数时，比如/Orders/Detail?id=123&status=active要编码为%2FOrders%2FDetail%3Fid%3D123%26status%3Dactive。

内容的提问来源于stack exchange，提问作者Cristhian Cobeñas Huamani