开放重定向防护与短链治理（白名单-路径签名）最佳实践

背景与价值开放重定向可被滥用进行钓鱼与令牌盗用。通过白名单与带过期签名的短链治理，可大幅降低攻击面并实现可追踪。统一规范允许域白名单：只允许业务批准的 `https` 域名与路径前缀。短链签名：对目标路径与过期时间进行HMAC签名，拒绝过期或签名不匹配。同源限制：默认仅允许同源或白名单外跳；开发例外需单列域名。核心实现白名单与同源校验const allowOrigins = new Set([ 'https://app.example.com', 'https://www.example.com', 'https://docs.example.com' ]) function allowedRedirect(url: string): boolean { try { const u = new URL(url) if (u.protocol !== 'https:') return false const origin = u.origin if (allowOrigins.has(origin)) return true return false } catch { return false } } 短链签名与过期function enc(s: string): Uint8Array { return new TextEncoder().encode(s) } async function hmacSha256(key: CryptoKey, data: string): Promise<string> { const raw = await crypto.subtle.sign('HMAC', key, enc(data)) const u = new Uint8Array(raw) let s = '' for (let i = 0; i < u.length; i++) s += String.fromCharCode(u[i]) return btoa(s).replace(/\+/g,'-').replace(/\//g,'_').replace(/=+$/,'') } async function importHmacKey(secret: ArrayBuffer): Promise<CryptoKey> { return crypto.subtle.importKey('raw', secret, { name: 'HMAC', hash: 'SHA-256' }, false, ['sign']) } type Token = { target: string; exp: number; sig: string } async function signToken(target: string, exp: number, key: CryptoKey): Promise<Token> { const payload = target + '|' + String(exp) const sig = await hmacSha256(key, payload) return { target, exp, sig } } async function verifyToken(t: Token, key: CryptoKey): Promise<boolean> { if (typeof t.exp !== 'number' || Date.now() > t.exp) return false if (!allowedRedirect(t.target)) return false const payload = t.target + '|' + String(t.exp) const s = await hmacSha256(key, payload) return s === t.sig } 落地建议仅允许白名单域与路径前缀外跳，默认拒绝非 `https` 与非白名单目标。短链必须包含过期时间并使用HMAC签名，过期或签名不匹配立即拒绝。审计记录外跳请求与目标域，便于发现异常行为并快速处置。验证清单目标URL是否命中白名单且为 `https`。短链是否包含过期时间并通过HMAC签名校验。外跳审计是否记录来源、目标与时间戳。