Next.js应用使用@auth0/nextjs-auth0实现授权后动态跳转回起始页

现有方案的潜在缺陷 #

• Referer 头可靠性不足：部分用户的浏览器、隐私扩展会主动禁用或篡改 Referer 头，此时该字段会返回 undefined，会导致用户登录后跳转逻辑失效，要么跳转到默认首页，要么触发报错。如果用户是从第三方站点跳转进入你的应用后触发登录，Referer 会指向第三方域名，直接使用会导致用户跳出你的应用，甚至存在开放重定向漏洞，可能被攻击者利用构造恶意链接跳转到钓鱼站点。
• 路径/参数丢失风险：如果你的站点配置了 Referer-Policy: origin，Referer 头只会返回根域名，原页面的路径、查询参数都会丢失，无法准确跳回原页面。
• 缺少合法性校验：直接透传用户可控的 Referer 字段到 Auth0 跳转配置，属于未校验的用户输入，存在安全隐患。

优化建议 #

最优方案：登录入口主动传参

所有触发登录的按钮/链接，跳转 /api/auth/login 时主动带上编码后的 returnTo 查询参数，比如：

// 首页登录按钮跳转地址
`/api/auth/login?returnTo=${encodeURIComponent('/')}`
// /browse/[id] 页登录按钮跳转地址
`/api/auth/login?returnTo=${encodeURIComponent(`/browse/${id}`)}`

然后在 Auth 路由中增加参数校验逻辑，避免开放重定向漏洞：

import { handleAuth, handleLogin } from '@auth0/nextjs-auth0';

const getLoginState = (req, loginOptions) => {
  // 配置允许跳转的路径白名单正则
  const ALLOWED_PATHS = [/^\/$/, /^\/browse(\/.*)?$/];
  // 优先取 query 里的 returnTo，降级取 Referer，兜底到首页
  const rawReturnTo = req.query.returnTo || req.headers.referer || '/';
  // 提取路径部分，过滤外站域名
  const returnToPath = new URL(rawReturnTo, process.env.NEXT_PUBLIC_APP_URL).pathname;
  // 校验路径合法性
  const isValidPath = ALLOWED_PATHS.some(pattern => pattern.test(returnToPath));
  return {
    returnTo: isValidPath ? returnToPath : '/'
  };
};

export default handleAuth({
  async login(req, res) {
    try {
      await handleLogin(req, res, { getLoginState });
    } catch (err) {
      res.status(err.status ?? 500).end(err.message);
    }
  }
});

轻量优化方案：现有逻辑加校验

如果不想改动所有登录入口，可以在你现有代码基础上增加白名单校验、外站过滤逻辑，避免安全问题和跳转异常。

内容的提问来源于stack exchange，提问作者Priyanka de Silva