黑客可能會強制從給定域名重定向？

Question

我在我的網站上有一個部分，它允許用戶將他們的個人資料中的鏈接上傳到他們的MySpace帳戶。爲了保護其他用戶，我想對域名（www.myspace.com/）進行硬編碼並附加用戶（消毒）的輸入。對我來說，這似乎很安全，並確保它始終進入MySpace.com。但是，惡意用戶是否可以通過任何方式將標籤附加到「www.myspace.com」這個將其重定向到另一個站點的標籤？或者，因爲域名是硬編碼的，那麼之後添加的任何內容都將導致404錯誤？

謝謝

Answer 1

首先，您必須清理輸入（如您注意）。假設你這樣做，那麼如果域名是硬編碼的，那麼鏈接將轉到myspace.com的服務器上，並且由myspace.com做出正確的輸入可能不正確的事情。但它不會被劫持到另一個領域。

如果你不清理，用戶可以輸入類似

myname" onclick="do_evil_stuff...">... 

，並可能劫持的鏈接。