Vue用$route.hash做锚点跳转被GitHub报URL重定向告警，如何处理？

本次触发GitHub代码扫描告警的原始实现代码如下：

mounted() {
  const { hash } = this.$route;
  if (this.$route.hash) {
    setTimeout(() => {
      window.location.href = hash;
    }, 1000);
  }
},

路由hash值是否属于未校验的不可信输入 #

属于。
Vue Router的核心职责是把浏览器地址栏的URL解析为结构化的路由对象，本身不会对URL各段内容做安全侧的合法性校验——用户只要能修改地址栏的hash段内容，不管Router怎么解析，这个值本质都是可以被篡改的不可信输入。
这段直接把this.$route.hash赋值给window.location.href的写法，在工具视角下确实存在可被利用的风险：攻击者可以构造带特殊协议的恶意hash（比如#javascript:恶意执行脚本、甚至可以构造让页面跳转到恶意站点的hash格式），触发XSS或者开放重定向漏洞，刚好匹配扫描规则覆盖的CWE-79、CWE-116、CWE-601三类风险场景。
实际开发中大家很少遇到这类攻击，是因为日常生成的带hash链接都是指向页面内锚点，不会出现带特殊协议的格式，但自动扫描工具是不区分“正常业务用法”和“恶意构造输入”的，只要检测到可变来源的值直接驱动location跳转，就会触发告警。

可落地的合规处理方案 #

• 优先替换原有实现逻辑，从根源规避风险
  这段代码的核心目标是实现页面内的锚点滚动效果，完全不需要通过修改window.location.href的方式实现：可以直接用Vue Router内置的scrollBehavior方法统一处理所有路由切换时的锚点定位逻辑；如果需要兼容旧场景，拿到hash值后先做严格的合法性校验：仅允许匹配页面内DOM id格式的hash值（比如仅允许字母、数字、短横线组成的字符串，凡是带协议前缀、跨域URL特征的hash值直接拦截），校验通过后用document.getElementById(对应锚点id)?.scrollIntoView()实现滚动效果，不再直接操作location对象。
• 确认场景绝对安全的前提下，做规则白名单标记
  如果经过评估，当前项目所有带hash的路由入口都是内部生成的，不存在可被外部构造恶意链接的场景，且已经加了对应的输入校验逻辑，可以在GitHub代码扫描规则中给这段代码加明确的忽略标记，同时在代码注释中写清楚忽略的原因和评估结论，方便后续安全审计时追溯。

直接忽略告警是否妥当 #

不建议无理由直接忽略。
扫描工具触发告警的本质是识别到了代码中存在潜在风险的写法，哪怕你评估当前场景没有被攻击的可能，直接跳过告警会带来两个实际问题：

• 后续项目迭代时，这段无说明的风险代码会被一直保留，一旦有人在周边新增跳转逻辑，原有风险点会持续存在，形成长期安全隐患
• 内部安全审计时，无理由忽略的告警会被要求重新复核整改，反而需要投入额外的整理成本

内容的提问来源于stack exchange，提问作者Leos Literak