ThinkPHP开放重定向漏洞需严格校验redirect()参数：仅允许相对路径或白名单域名，用parse_url()解析并校验scheme、host，登录跳转应存session而非依赖GET参数，建议中间件统一拦截校验。
ThinkPHP 本身不校验重定向目标，redirect() 直接接受用户输入的 URL 或路径时，极易触发开放重定向漏洞——攻击者可构造 redirect('https://evil.com') 或 redirect('//phishing.site')，把用户骗离你的站点。
redirect() 的参数必须白名单校验，不能直接透传
常见错误是把 GET 参数原样塞进 redirect()：
-
return redirect(input('redirect'));→ 完全失控，任意跳转 -
return redirect($_GET['url'] ?? '/');→ 同样危险，url=//evil.com仍能生效
正确做法是：只允许相对路径（如 /user/dashboard）或预设的白名单域名（如 example.com），禁止协议、双斜杠、非白名单主机名：
if (strpos($url, '://') !== false || strpos($url, '//') === 0) {
abort(400, 'Invalid redirect target');
}
// 只允许以 / 开头的路径
if (0 !== strpos($url, '/')) {
$url = '/';
}
return redirect($url);
用 parse_url() + 白名单域名比对更可靠
单纯检查 :// 或 // 容易被绕过（比如 javascript:alert(1)、data:text/html,<script>alert(1)</script>）。真正安全的做法是解析 URL 并校验 host：
立即学习“PHP免费学习笔记（深入）”；
- 调用
parse_url($url)获取数组结构 - 若
host存在，必须严格匹配你信任的域名（如['example.com', 'app.example.com']） - 若
scheme存在，只允许http和https；禁止javascript:、data:、file:等危险协议 - 若解析失败（
false），一律拒绝
示例关键逻辑：
$parsed = parse_url($url);
if ($parsed === false || !isset($parsed['host'])) {
abort(400, 'Invalid URL format');
}
if (isset($parsed['scheme']) && !in_array($parsed['scheme'], ['http', 'https'], true)) {
abort(400, 'Unsupported protocol');
}
if (!in_array($parsed['host'], ['example.com', 'app.example.com'], true)) {
abort(400, 'Redirect host not allowed');
}
登录/登出后跳转要绑定 referer 或 session 记录来源
很多项目用 ?redirect=/admin 实现“登录后回原页”，但这个参数完全由用户控制。更稳妥的方式是：
- 登录前把当前 URL 存入 session：
Session::set('redirect_after_login', $request->url()) - 登录成功后读取 session 值，再做白名单校验（不是读 GET 参数）
- 登出时不要依赖
url参数，直接跳固定页（如/login）或清空 session 后跳首页
注意：$request->header('Referer') 也不可信——它可被客户端伪造，仅作辅助参考，不可作为唯一依据。
中间件统一拦截所有 redirect() 调用点
分散在各控制器里的校验容易遗漏。建议在全局中间件中拦截所有含重定向意图的请求（如路由名含 login、logout、callback 的接口），提前验证 redirect、url、return_url 等常见参数名：
- 扫描所有请求参数，匹配关键词（
redirect、url、next、return） - 对每个匹配值执行上述
parse_url()+ 白名单校验 - 校验失败立即
abort(400)，不进入控制器逻辑
这样即使某个控制器忘了校验，漏洞也不会被利用——防御前置到框架入口层。
最易被忽略的一点：redirect() 返回的是 Response 对象，必须 return 它；如果只是调用没返回，后续代码仍会执行，可能意外输出内容导致跳转失效，反而让攻击者看到原始页面响应——这会让开放重定向更隐蔽、更难审计。
