<a href="javascript:history.go(-1)">返回</a>安全吗？

Question

我有一个类似于自定义 404 错误页面中标题中的链接，它允许用户像使用浏览器的返回按钮一样转到上一页。我只想问这种链接方法是否安全。我想这是安全的，但我不确定。感谢您的问候！

Answer 1

我可以说不“安全”的一个用例是用户禁用了 JavaScript。在这种情况下，您必须使用服务器端代码动态创建链接，使用 HTTP referer header field's 值作为锚元素上的 href 值。

另一件需要考虑的事情是，如果用户来自带有 HTTP 重定向的页面，他们会陷入永无止境的来回循环。

编辑：

正如你上面所说，你可以使用 $_SERVER['HTTP_REFERER'] 但文档说

.. 这是由用户代理设置的。不是所有的用户代理都会设置这个， 有些提供修改 HTTP_REFERER 的功能。在 简而言之，它不能真正被信任。

实际上，尽管大多数浏览器都正确设置了它，并且看到这不是关键任务，我认为如果您使用它是安全的。您还可以考虑没有如下设置的浏览器：

if(isset($_SERVER['HTTP_REFERER']))
{
    // Show a Back button link, if the referrer is available
    echo "<a href=\"".$_SERVER['HTTP_REFERER']."\">&laquo; Back</a>";
}
else
{
    // If not, show a link to your homepage instead
    echo "<a href=\"". "//www.yoursite.com" ."\">Home</a>";
}