如何强制 Uri 使用 baseUri？

Question

使用带有基本 URI 的 Uri 类似乎存在一个主要问题。出于某种原因，如果传入一个相对 URI 并且它似乎是一个完整的 URL，那么它是一个“功能”，Uri 类将忽略 baseUri 而只使用相对 Uri。这可能是一个安全漏洞，我想了解如何避免它，但仍然获得结合基本 URI 和相对 URI 以在 C# dotnetcore 中创建单个 URL 的功能。

在下面的示例中，您可以看到 http://badexample.com 的相对 uri 使 baseUri 不会出现在生成的 URI 中。这很危险。

using System;

public class Program
{
    public static void Main()
    {
        var baseUri = new Uri("http://google.com");
        var relativeUri = new Uri(baseUri, "search?q=stuff");
        Console.WriteLine(relativeUri);

        var badUri = new Uri(baseUri, "http://badexample.com");
        Console.WriteLine(badUri);
    }
}

输出：

http://google.com/search?q=stuff
http://badexample.com/

Answer 1

好吧，你可以逃脱:：

string relativeUrl = "http://badexample.com";
var badUri = new Uri(baseUri, relativeUrl.Replace(":","%3A"));

这将产生http://google.com/http%3A//badexample.com

关于安全，Microsoft docs recommends，在处理用户输入时，要做如下验证：

if (!Uri.TryCreate(baseUri, userInput, out Uri newUri))
{
    // Fail: invalid input.
}

if (!baseUri.IsBaseOf(newUri))
{
    // Fail: the Uri base has been modified - the created Uri is not rooted in the original directory.
}