Açık yönlendirme (ARCH4122)

Anahtar java.security.open-redirect · Önem warning · Kategori security · CWE CWE-601

Yönlendirme hedefinin doğrudan kullanıcı girdisinden alınması, saldırganların güvenilir alan adı üzerinden kurbanları kötü amaçlı sitelere taşımasına olanak tanır ve kimlik avına zemin hazırlar.

Hatalı

@GetMapping("/redirect")
public String redirect(@RequestParam String url) {
    return "redirect:" + url;
}

Doğru

private static final Set<String> ALLOWED = Set.of("/home", "/dashboard");

@GetMapping("/redirect")
public String redirect(@RequestParam String url) {
    return ALLOWED.contains(url) ? "redirect:" + url : "redirect:/home";
}

Düzeltme

Yönlendirme hedeflerini bir izin listesine göre doğrulayın veya yalnızca uygulama içi göreli yollara izin verin.