ASP.NET MVC登录跳转时，如何验证URL是否属于自身应用？

嘿，我来帮你搞定这个登录跳转的安全验证问题，这在ASP.NET MVC里其实有成熟的实践方案，分几个部分给你详细说清楚：

直接根据referrer跳转风险很高，因为referrer可以被篡改，所以必须先对目标URL做合法性校验。核心思路是：只允许跳转到相对路径或者主机与当前站点一致的绝对路径。

给你一个实用的验证方法：

private bool IsValidRedirectUrl(string redirectUrl)
{
    if (string.IsNullOrWhiteSpace(redirectUrl))
        return false;

    Uri uri;
    // 先尝试把字符串解析成Uri，解析失败直接判定为非法
    if (!Uri.TryCreate(redirectUrl, UriKind.RelativeOrAbsolute, out uri))
        return false;

    // 相对路径（比如"/Home/Index"）不会跳转到外部站点，直接放行
    if (!uri.IsAbsoluteUri)
        return true;

    // 绝对路径的话，对比主机名（不区分大小写，兼容不同域名写法）
    return string.Equals(uri.Host, Request.Url.Host, StringComparison.OrdinalIgnoreCase);
}

如果你的业务允许跳转到多个可信子域名，还可以把可信域名做成配置项（比如放在Web.config里），方便后续维护：

<appSettings>
  <add key="TrustedDomains" value="yourdomain.com,sub.yourdomain.com" />
</appSettings>

然后修改验证逻辑，从配置中读取域名列表进行匹配即可。

有时候光验证主机还不够——如果你的应用部署在虚拟目录下（比如http://yourdomain.com/MyApp），还要确保跳转路径在当前应用的虚拟目录范围内。

这个方法可以帮你实现：

private bool IsUrlInCurrentApplication(string url)
{
    if (string.IsNullOrWhiteSpace(url))
        return false;

    Uri uri;
    if (!Uri.TryCreate(url, UriKind.RelativeOrAbsolute, out uri))
        return false;

    // 相对路径默认属于当前应用
    if (!uri.IsAbsoluteUri)
        return true;

    // 第一步先验证主机一致
    if (!string.Equals(uri.Host, Request.Url.Host, StringComparison.OrdinalIgnoreCase))
        return false;

    // 如果应用部署在虚拟目录，检查路径是否包含应用的虚拟路径
    string appVirtualPath = Request.ApplicationPath;
    if (!string.IsNullOrEmpty(appVirtualPath) && appVirtualPath != "/")
    {
        return uri.AbsolutePath.StartsWith(appVirtualPath, StringComparison.OrdinalIgnoreCase);
    }

    // 根目录部署的话，主机一致就判定为属于当前应用
    return true;
}

把上面两个方法结合到你的Login Action里，就能实现安全的跳转了：

[HttpPost]
public ActionResult Login(LoginViewModel model, string returnUrl)
{
    if (ModelState.IsValid)
    {
        // 替换成你实际的用户验证逻辑
        bool isUserAuthenticated = ValidateUser(model.Username, model.Password);

        if (isUserAuthenticated)
        {
            // 先验证URL合法性，再检查是否属于当前应用
            if (IsValidRedirectUrl(returnUrl) && IsUrlInCurrentApplication(returnUrl))
            {
                return Redirect(returnUrl);
            }
            else
            {
                // URL非法的话，跳转到默认页面（比如首页）
                return RedirectToAction("Index", "Home");
            }
        }
        else
        {
            ModelState.AddModelError("", "用户名或密码错误");
        }
    }

    return View(model);
}

• 不要完全信任Request.Referrer，它可以被客户端篡改，必须经过上述验证才能使用
• 如果你的站点使用了非标准端口（比如8080），记得在验证绝对URL时加上端口对比：uri.Port == Request.Url.Port
• 对于复杂的URL场景（比如带参数的跳转），上述方法依然适用，因为我们只验证主机和路径前缀，不影响参数部分

内容的提问来源于stack exchange，提问作者Gadawadara