URL重定向不可信站點

Question

有誰能告訴我如何驗證此URL中的此行嗎？

return Redirect(returnUrl); 

由於這是給我從安全掃描工具

Answer 1

您只需要測試該URL是本地URL爲正確的網址進行重定向前的安全錯誤「URL重定向不受信任的網站」可能會將用戶重定向到其他網站（如釣魚網站）。當你的代碼目前維持，這個網址：一旦你登錄

通過下面添加此條件檢查

http://www.yoursite.com/account/login?returnUrl=www.myfakesite.com 

將您重定向到www.myfakesite.com，你能保證你永遠不重定向當前的應用程序之外

if(!string.IsNullOrEmpty(returnUrl) && Url.IsLocalUrl(returnUrl)){ 
    //check for empty return url and that it is a local url 
    return Redirect(returnUrl); 
} 
else{ 
    //wherever you want people to default going to if they 
    //log in without a return url or one that is not a local url. 
    return RedirectToAction("action", "controller"); 
} 

EDIT

的URL輔助組件位於的System.Web。 MVC。但是，在一個控制器中，UrlHelper已經安裝並準備就緒 - 意味着控制器會自動「實例化UrlHelper」。爲了在控制器外部使用此設備，您需要訪問當前的RequestContext以設置UrlHelper。

var helper = new UrlHelper(HttpContext.Current.Request.RequestContext); 
    return helper.IsLocalUrl("testUrl"); 

注意 - 我不知道的安全掃描軟件是如何確定，這可能是一個「URL重定向信任的網站」 - 但它可能只是發出一個糟糕的網址，看是否應用程序重定向到它。這應該糾正，但沒有關於安全掃描如何工作的更多信息，我不能保證。