CodeIgniter 3中替代header跳转回来源页的安全方法问询

嘿，这个分页后跳转回原页面的问题我之前做项目时也碰到过，咱们来拆解一下你的疑问：

一、$_SERVER['HTTP_REFERER']的安全性问题 #

首先得明确：这个方法不是最安全的方案，原因有两个：

• 它是客户端可控的：浏览器可以手动修改referer值，甚至有些恶意用户会伪造referer来引导跳转至不安全的页面，虽然你的场景是内部跳转，但仍存在潜在风险。
• 它可能缺失：部分浏览器的隐私设置、无痕迹模式，或者某些网络环境会阻止referer的发送，这时候这个方法会直接失效，导致跳转出错。

如果一定要用这个方法，务必在跳转前做校验，比如确认referer是来自你的域名内部：

$referer = $_SERVER['HTTP_REFERER'] ?? '';
if (strpos($referer, base_url()) === 0) {
    header('Location: ' . $referer);
} else {
    redirect('users');
}

但即便如此，还是不如后端可控的方案靠谱。

二、CodeIgniter专属的实现方式 #

CI有两种更可靠的方案，核心思路是主动记录当前分页状态，而不是依赖客户端信息：

方法1：直接传递分页页码参数 #

这是最简单直接的方式，把当前分页的页码作为参数传给激活方法：

1. 在视图的“Enable”按钮链接里，追加当前页码：

<a href="<?= site_url('users/activate/' . $user->id . '/' . ($this->input->get('page') ?: 1)) ?>" class="btn btn-success">Enable</a>

2. 修改activate()方法，接收并使用页码参数：

public function activate($user_id, $page = 1) { 
    // 重点：先做权限校验！确保只有有权限的用户能执行此操作
    if (!$this->session->userdata('is_admin')) {
        show_error('你没有权限执行此操作');
    }

    $this->load->model('Usermodel'); 
    $this->Usermodel->activateUser($user_id); 
    
    // 跳转回对应页码的用户列表页
    redirect('users?page=' . $page); 
}

方法2：用Session存储完整页面状态 #

如果你的用户列表还有其他筛选条件（比如搜索关键词、状态过滤），这个方法能完整保留之前的页面状态：

1. 在用户列表的控制器方法（比如index()）里，把当前页面的完整URL存到Session：

public function index() {
    // 你的分页、筛选逻辑...
    $current_url = current_url();
    if (!empty($_SERVER['QUERY_STRING'])) {
        $current_url .= '?' . $_SERVER['QUERY_STRING'];
    }
    // 存储到session
    $this->session->set_userdata('last_user_list_url', $current_url);

    // 加载视图等后续逻辑...
}

2. 在activate()方法里，从Session取出URL跳转：

public function activate($user_id) { 
    // 权限校验不能少
    if (!$this->session->userdata('is_admin')) {
        show_error('你没有权限执行此操作');
    }

    $this->load->model('Usermodel'); 
    $this->Usermodel->activateUser($user_id); 
    
    // 优先用session存储的URL，没有的话默认跳转到用户列表第一页
    $redirect_url = $this->session->userdata('last_user_list_url') ?? 'users';
    redirect($redirect_url); 
}

总结 #

• 不推荐依赖$_SERVER['HTTP_REFERER']，风险不可控；
• 优先选择CodeIgniter专属的方案，传递页码适合简单分页场景，Session存储适合带复杂筛选的场景，两种方案都能确保跳转的安全性和准确性。

内容的提问来源于stack exchange，提问作者Razvan Zamfir