オープンリダイレクト攻撃を防ぐ方法は？

Question

オープンリダイレクト攻撃を防止するための最良の方法は何ですか？現在、私はasp.netウェブサイトを開発しています。ログインに成功すると外部リンクにユーザーをリダイレクトしないようにしたいのですか？

編集：既存のコードを変更せずにソリューションを実装することは可能ですか？

Answer 1

login controlを使用しているとします。 ReturnUrlパラメータがローカルURLであり（別のドメインを指していない）チェックであることを確認する必要があります。あなたはhere

private bool IsLocalUrl(string url) 
{ 
    if (string.IsNullOrEmpty(url)) 
    { 
     return false; 
    } 

    Uri absoluteUri; 
    if (Uri.TryCreate(url, UriKind.Absolute, out absoluteUri)) 
    { 
     return String.Equals(this.Request.Url.Host, absoluteUri.Host, 
        StringComparison.OrdinalIgnoreCase); 
    } 
    else 
    { 
     bool isLocal = !url.StartsWith("http:", StringComparison.OrdinalIgnoreCase) 
      && !url.StartsWith("https:", StringComparison.OrdinalIgnoreCase) 
      && Uri.IsWellFormedUriString(url, UriKind.Relative); 
     return isLocal; 
    } 
}