HttpUtility.UrlEncode() 可以防止 Open Redirect 攻击吗？答案

【问题标题】：Could HttpUtility.UrlEncode() prevent Open Redirect attack?HttpUtility.UrlEncode() 可以防止 Open Redirect 攻击吗？
【发布时间】：2017-11-14 08:26:40
【问题描述】：

我正在检查 ASP.net MVC 项目的安全问题。

我发现了一些类似下面的代码，我想知道UrlEncode() 是否阻止了打开重定向问题？

public ActionResult Redirect(string url)
{
   return Redirect(HttpUtility.UrlEncode(url));
}

【问题讨论】：

不，它只会对其进行编码（替换非法字符等）。您的网址是指向您网站内的网页还是指向外部网址？

标签： asp.net asp.net-mvc security urlencode

【解决方案1】：

不，当然不是！

开放重定向基本上允许攻击者将受害者重定向到不安全/恶意页面，因为缺少 URL 身份验证。

对 URL 进行编码无济于事.. 完全没有。

为了能够防止它，你可以在这个线程上看到我的答案：

https://stackoverflow.com/a/48051915/7827699

【讨论】：