ASP.NET WebForms如何验证页面跳转来源，禁止直接访问指定页面？

当然有办法解决这个问题！在ASP.NET WebForms场景下，我们可以通过几种不同的方式来限制Account.aspx的访问来源，确保它只能从Login.aspx的保存按钮合法跳转进入，而不能通过直接输入地址栏访问。下面给你分享几个实用的实现方案：

方案一：利用Request.UrlReferrer检查来源（简单但有局限性） #

这个方法依赖浏览器发送的Referrer头，获取上一页的URL信息。你可以在Account.aspx的Page_Load事件中添加验证逻辑：

protected void Page_Load(object sender, EventArgs e)
{
    if (!IsPostBack)
    {
        // 验证跳转来源是否为Login.aspx
        if (Request.UrlReferrer == null || 
            !Request.UrlReferrer.AbsolutePath.EndsWith("Login.aspx", StringComparison.OrdinalIgnoreCase))
        {
            // 非法访问时跳回登录页或给出提示
            Response.Redirect("Login.aspx");
            return;
        }
    }
}

⚠️ 注意：这个方法的局限性在于，某些浏览器隐私模式、安全插件或者代理服务器可能会屏蔽Referrer头，导致Request.UrlReferrer为空，所以只适合简单场景，不能作为唯一的验证手段。

方案二：服务器端Session标记（推荐，可靠性高） #

通过在服务器端设置Session变量来标记合法跳转，这种方式不受浏览器设置影响，安全性和可靠性更高。

1. 在Login.aspx的保存按钮事件中标记合法状态 #

protected void btnSave_Click(object sender, EventArgs e)
{
    // 设置Session标记，表示这是合法跳转
    Session["ValidAccountRedirect"] = true;
    // 执行跳转
    Response.Redirect("Account.aspx");
}

2. 在Account.aspx的Page_Load中验证Session标记 #

protected void Page_Load(object sender, EventArgs e)
{
    if (!IsPostBack)
    {
        // 检查是否存在合法跳转标记
        if (Session["ValidAccountRedirect"] == null || !(bool)Session["ValidAccountRedirect"])
        {
            // 非法访问，跳回登录页
            Response.Redirect("Login.aspx");
            return;
        }
        // 验证通过后清除标记，避免重复使用
        Session["ValidAccountRedirect"] = null;
    }
}

方案三：加密QueryString参数（适合特定场景） #

如果需要传递额外信息同时验证来源，可以在跳转时附加加密的验证参数，防止参数被篡改。

1. 在Login.aspx生成加密令牌并跳转 #

protected void btnSave_Click(object sender, EventArgs e)
{
    // 生成加密令牌（实际开发中建议用MachineKey或自定义加密算法）
    string token = System.Web.Security.FormsAuthentication.HashPasswordForStoringInConfigFile(DateTime.Now.Ticks.ToString() + "your_secret_key", "MD5");
    // 将令牌存入Session备用
    Session["RedirectToken"] = token;
    // 携带令牌跳转
    Response.Redirect($"Account.aspx?token={token}");
}

2. 在Account.aspx验证令牌合法性 #

protected void Page_Load(object sender, EventArgs e)
{
    if (!IsPostBack)
    {
        string incomingToken = Request.QueryString["token"];
        string validToken = Session["RedirectToken"] as string;
        
        if (string.IsNullOrEmpty(incomingToken) || incomingToken != validToken)
        {
            Response.Redirect("Login.aspx");
            return;
        }
        // 清除令牌，防止重复使用
        Session["RedirectToken"] = null;
    }
}

额外建议：结合Forms Authentication双重验证 #

如果Account.aspx本身需要用户登录才能访问，建议同时在Web.config中配置权限限制，确保用户先通过登录验证：

<location path="Account.aspx">
    <system.web>
        <authorization>
            <deny users="?" /> <!-- 拒绝未登录用户访问 -->
        </authorization>
    </system.web>
</location>

这样先确保用户是已登录状态，再验证跳转来源，安全性会更有保障。

内容的提问来源于stack exchange，提问作者Popplar