关于使用参数重定向的OWASP文档的说明

Question

我使用Rails 4.1.1，我希望接受一个redirect_path参数，以便在用户执行操作后重定向。我读过OWASP文档关于相关问题(网络钓鱼攻击)的文章，但我不明白。这些文件指出：

最基本的，但限制性的保护是使用:only_path选项。将此设置为true本质上将删除任何主机信息。

redirect_to params[:url], :only_path => true

为了避免钓鱼攻击，redirect_to params[:url], :only_path => true足够了吗？还有其他的陷阱吗？

Answer 1

制动器提出了两种降低风险的策略：

1. 像你一样使用only_path；
2. 解析重定向URL以手动提取路径URI.parse(some_url).path

在过去的项目中，我重写了那个助手，以确保没有人会意外地忘记#1的额外参数。