开放重定向风险源于未校验用户输入的跳转URL，正确做法是白名单校验、路径归一化或使用url_for/reverse等安全机制，而非直接拼接原始参数。
直接结论：只要重定向目标来自用户输入（比如 next、redirect_to、return_url），又没做白名单校验或路径归一化，就存在开放重定向风险——这不是框架问题，是你放行了任意协议、任意域名的跳转。
Flask 中 redirect() 的危险用法与替代方案
很多人以为 redirect() 函数本身不安全，其实它只是忠实执行你给的字符串。真正出事的是这行代码：return redirect(request.args.get('next', '/'))。
- 攻击者访问
/login?next=https://evil.com，登录后立刻跳转到钓鱼站 -
//evil.com、javascript:alert(1)、data:text/html,<script>...</script>都可能绕过简单字符串检查 - 即使你只允许
http/https，也不代表安全——跨域仍是开放重定向
正确做法是放弃拼接原始 URL，改用 url_for()：
from flask import Flask, request, redirect, url_for
<p>@app.route('/login', methods=['POST'])
def login():</p><h1>验证逻辑...</h1><pre class="brush:php;toolbar:false;">next_endpoint = request.args.get('next', 'dashboard')
# 只接受预定义的 endpoint 名，不接受 URL 字符串
if next_endpoint not in ['dashboard', 'profile', 'settings']:
next_endpoint = 'dashboard'
return redirect(url_for(next_endpoint))
如何安全地校验用户传入的跳转 URL
当业务确实需要支持外部跳转（如 OAuth 回调、SaaS 多租户跳转），必须手动校验 URL。别信正则匹配，要用 urllib.parse 拆解再比对：
- 用
urlparse()提取scheme、netloc、path，拒绝scheme非空且非http/https的情况 - 若
netloc不为空，必须严格匹配白名单（如{'example.com', 'api.example.com'}），不能只检查是否包含子串 - 用
urljoin('https://yourdomain.com', user_input)归一化相对路径，再判断是否仍以你的域名开头 - 特别注意：
urlparse('//evil.com')的netloc是evil.com，但scheme为空——这种也要拦截
Django 中 HttpResponseRedirect 的常见误用
Django 的 HttpResponseRedirect 和 Flask 的 redirect() 风险一致。典型错误是直接把 request.GET.get('next') 塞进去：
from django.http import HttpResponseRedirect
from django.urls import reverse
<p>def login_view(request):
next_url = request.GET.get('next', '/')
return HttpResponseRedirect(next_url) # ⚠️ 危险！
</p>
应优先走 reverse()：
- 内部跳转：用
reverse('dashboard')替代原始 URL - 带参数跳转：用
reverse('user_detail', kwargs={'pk': 123}) - 必须处理外部 URL 时，用 Django 自带的
is_safe_url()（需传入allowed_hosts）
注意：is_safe_url() 默认只校验域名，不校验协议和路径——如果你的应用部署在多个子域下，得显式传入 allowed_hosts=['app.example.com', 'admin.example.com']。
前端 window.location.href 跳转同样要校验
别以为后端安全了就万事大吉。如果前端 JS 从 URL 参数或 API 响应里读取 redirect_url 并执行 window.location.href = url，照样中招。
- 禁止直接赋值：不要写
location.href = new URLSearchParams(window.location.search).get('redirect') - 前端校验逻辑必须和后端一致：解析
URL实例，检查origin是否在白名单内 - 更稳妥的做法：后端返回跳转指令（如
{"action": "redirect", "to": "dashboard"}），前端只查表映射，不接触原始 URL
最容易被忽略的点：开发时本地调试常加 localhost:3000 到白名单，上线后忘了删——这个域名一旦泄露，就成了攻击入口。白名单必须按环境严格隔离，且禁止硬编码在前端代码里。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
