ASP.NET MVC中的返回URL

您可能对链接的编码不正确。是的,它们确实需要编码。我们是这样做的:

<a href="<%= Url.Action("Delete", "TimeRecord", 
    new RouteValueDictionary(new { id = timeRecord.AltId, 
    returnUrl=ViewContext.HttpContext.Request.Url.PathAndQuery }) ) %>">

在使用之前,请确保URL对rawurl进行了编码。

<%= Url.Encode(Request.RawUrl) %>

这应该对你有用。

好吧,你的解决方案有一股味道;我无法将手指放在描述攻击的链接上(它可能是某种类型的会话劫持),但通过查询字符串盲目重定向必须是一个安全漏洞。请有人回答或评论信息。

如果不考虑这方面的安全性,一个快速的解决方案是对整个返回URL进行base64编码。这是一些我完全从中得到的代码 a blog 可能工作,也可能不工作:

public static string ToBase64(this HtmlHelper me, string toEncode)
{
      byte[] toEncodeAsBytes
            = System.Text.ASCIIEncoding.ASCII.GetBytes(toEncode);
      string returnValue
            = System.Convert.ToBase64String(toEncodeAsBytes);
      return returnValue;
}

public static string FromBase64(this HtmlHelper me, string encodedData)
{
      byte[] encodedDataAsBytes
          = System.Convert.FromBase64String(encodedData);
      string returnValue =
         System.Text.ASCIIEncoding.ASCII.GetString(encodedDataAsBytes);
      return returnValue;
}