AI / 编程与调试

登录后跳转参数被利用

回跳地址不做校验，钓鱼链接就能借你的域名骗取信任

登录成功后会跳回参数 [参数名] 指定的地址。请列出可被利用的写法（绝对 URL、双斜杠开头、带 @ 的 URL、编码绕过、白名单后缀匹配被绕过），再给出稳妥实现：只接受站内相对路径，或按 ID 查配置表映射目标，并说明跳转前是否需要二次确认页。最后给出 [框架] 下的具体写法。