如何修复Python Flask应用中不安全的URL跳转漏洞？-Python教程-PHP中文网

不安全的 url 跳转漏洞源于未校验用户可控的跳转参数（如 next），而非 redirect() 函数本身；应通过 urljoin + urlparse 归一化后白名单校验，或优先使用 url_for() 动态生成本域跳转链接。

如何修复python flask应用中不安全的url跳转漏洞？

直接说结论：不安全的 URL 跳转漏洞不是 redirect() 函数的问题，而是你把用户可控的 next、redirect_to、return_url 这类参数未经校验就传给了它——等于主动把跳转控制权交给了攻击者。

为什么用 request.args.get('next') + redirect() 会出事

常见于登录后跳转、OAuth 回调、表单提交后返回等逻辑。比如这段代码：

@app.route('/login', methods=['POST'])
def login():
    # ...认证逻辑
    next_url = request.args.get('next', '/')
    return redirect(next_url)  # ⚠️ 危险！

攻击者只要访问 /login?next=https://evil.com/phish，用户登录后就会被无声跳转到钓鱼站。浏览器完全信任 Location 响应头，不会提示任何异常。

关键点在于：redirect() 本身是安全的，但它的输入来源不可信。同样的风险也存在于手动设置 response.headers['Location'] 或前端用 window.location.href = url 跳转（只要 url 来自 URL 参数或 API 响应）。

旧版 Flask/Django 默认允许 //evil.com、javascript:alert(1) 等非法协议或空协议跳转
相对路径（如 ../admin/delete）若未归一化，可能绕过基础校验
某些框架对 Unicode 编码（如 %E2%80%8C 零宽字符）处理不一致，导致白名单比对失效

用 urlparse 拆解 + 白名单比对（最通用）

这是兼容性最好、不依赖框架内部机制的方式，适合所有 Python Web 场景。核心是三步：解析 → 归一化 → 白名单检查。

python-script-generator

快速生成专业的 Python 脚本和应用代码。一键创建完整项目结构，支持CLI、API、爬虫、Bot、Django等多种项目类型，包含完整的项目结构、配置文件、依赖管理、测试、README和文档。

下载

示例代码（带注释）：

from urllib.parse import urlparse, urljoin
from flask import request, redirect, abort
<p>def is_safe_redirect_url(target):
ref_url = urlparse(request.host_url)
test_url = urlparse(urljoin(request.host_url, target))
return test_url.scheme in ('', 'http', 'https') and \
test_url.netloc == ref_url.netloc</p><p>@app.route('/login', methods=['POST'])
def login():
next_url = request.args.get('next', '/')
if not is_safe_redirect_url(next_url):
next_url = '/'  # 或抛出 400
return redirect(next_url)
</p>

urljoin() 必须调用：它能把 next=/path、next=//evil.com、next=https://example.com/path 全部转成标准格式再比对
只允许 scheme 为空（相对路径）、http、https；禁止 javascript:、data:、file: 等伪协议
严格比对 netloc，不能只看域名是否“包含”本域（防止 yourapp.evil.com 绕过）

用 url_for() 构造跳转（最安全）

如果你的跳转目标是本应用内的页面，优先放弃原始 URL 字符串，改用 url_for() 动态生成。

比如登录后跳回“上一页”，不要拼 next=/user/profile，而是：

@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'POST':
        # ...认证成功
        endpoint = request.args.get('next_endpoint', 'index')
        args = request.args.to_dict()
        # 过滤掉非预期参数，只保留用于 url_for 的键值对
        safe_args = {k: v for k, v in args.items() if k not in ['next', 'next_endpoint']}
        return redirect(url_for(endpoint, **safe_args))

url_for() 只接受已注册的 endpoint 名和参数，框架自动保证路径合法、无跨域、无协议切换
必须显式过滤掉原始跳转参数（如 next），否则攻击者仍可传入恶意 next_endpoint=javascript:alert
适用于跳转目标明确为本应用路由的场景；第三方回调（如 OAuth）仍需走白名单校验

容易被忽略的边界情况

真实业务中，以下几点常被跳过，但恰恰是绕过检测的高发点：

前端 JS 调用 window.location.href 或 location.assign() 时，若 url 来自 document.referrer 或 localStorage，同样需要校验
API 接口返回的跳转字段（如 {"redirect": "..."}），不能只在后端跳转逻辑里校验，JSON 响应体中的该字段也需同步过滤
测试时用 localhost 或 127.0.0.1，上线后变成 www.example.com，白名单硬编码未更新会导致误拦
URL 中的 fragment（#section）虽不影响跳转域，但若拼接进重定向逻辑，可能被用来混淆审计（例如 https://good.com/#/evil.com）

Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！