asp.net returnURL頁面驗證，以避免中間人攻擊

Question

我有asp.net webform應用程序。我注意到如果沒有登錄，.net框架會自動包含返回url的名稱。

我想驗證returnURL頁面，以便沒有外部URL（由中間人攻擊創建）。任何人都可以請建議，這是否可以輕鬆地在asp.net 3.5中開箱即用嗎？

感謝

Answer 1

你可以要求和驗證時的登錄表單發送回服務器的查詢字符串RETURNURL。

由於登錄表單被回發並自行處理，您不應該擔心這種攻擊。表單數據不會發送到returnUrl。