如何避免window.location.href引发的开放重定向？附代码优化方案咨询

你原来的代码是通过替换当前URL中的abc.jsp为xyz.jsp来跳转，虽然本身是基于当前页面的URL，但手动字符串替换还是有潜在风险（比如如果当前URL的路径里有类似abc.jsp的子字符串被误替换），而且如果当前URL被某种异常方式篡改（虽然概率低），也可能导致意外跳转。这里有两个更安全的替代方案：

方案1：直接使用相对路径跳转（最简单安全） #

既然是替换同目录下的JSP文件，完全不需要依赖当前URL的解析，直接用相对路径即可：

// 直接跳转到同目录下的xyz.jsp，彻底避免URL解析风险
window.location.href = 'xyz.jsp';

方案2：用URL对象安全修改路径（保留原逻辑的前提下增强安全） #

如果必须保留基于当前URL的修改逻辑，用URL对象来操作路径，并额外校验域名一致性：

// 创建URL对象解析当前地址，方便安全操作各个部分
const currentUrl = new URL(window.location.href);
// 精准替换路径中的abc.jsp为xyz.jsp
currentUrl.pathname = currentUrl.pathname.replace('abc.jsp', 'xyz.jsp');
// 强制校验跳转目标和当前网站同域，防止任何意外的外部跳转
if (currentUrl.origin === window.location.origin) {
  window.location.href = currentUrl.toString();
} else {
  // 异常处理：跳转到网站首页或提示错误
  console.error('Invalid redirect target detected');
  window.location.href = '/';
}

这个方案的好处是，即使当前URL有异常，也能通过origin校验确保不会跳转到外部网站，同时用URL对象操作路径比手动字符串替换更可靠。

内容的提问来源于stack exchange，提问作者user6223368 iSubodh