你有没有遇到过这样的情况：点击一个看起来完全正常的链接，结果页面跳转后却把你带到了一个满屏广告甚至钓鱼网站？说真的，现在网络上的跳转劫持手段越来越隐蔽，很多站点明明只是想做个安全检测提示页，或者一个中转倒计时，结果却被恶意脚本钻了空子。我上周帮朋友排查他的个人博客，发现某个外链跳转竟然被中间人篡改成了赌博推广页，这让他吓出一身冷汗。所以今天我想聊聊，怎么从技术和管理角度防止跳转页面被劫持。
从代码层面扎紧篱笆
最常见的劫持方式就是攻击者利用未验证的重定向参数，比如一个跳转链接写成 https://你的网站/redirect?url=目标网址，如果后端没有严格检查 url 参数，攻击者就可以传入恶意地址。我自己遇到过一个小案例：一个电商落地页为了统计点击率，直接用了 window.location.href = 用户点击的链接，结果被黑客在URL里塞进了山寨支付页面。解决方法是始终使用白名单校验，只允许跳转到你预设的域名列表中，或者对跳转目标进行哈希签名。另外，给所有出站链接加上 rel="noopener noreferrer" 能有效防止新窗口劫持，这个属性虽然简单，但很多人会漏掉。
HTTPS 和 HSTS 是基础防线
你可能觉得HSTS（强制安全传输）跟跳转劫持关系不大，但实际很多劫持发生在HTTP到HTTPS的过渡阶段。攻击者在中间网络设备上拦截明文请求，篡改302跳转目标。根据Mozilla 2023年的报告，未启用HSTS的站点遭受中间人跳转劫持的概率比启用者高出约7倍。建议在服务器响应头中添加 Strict-Transport-Security 并设置足够长的 max-age，同时预加载到浏览器列表，这样连第一次HTTP请求都能被阻止。我自己的一个经验是：配合CSP（内容安全策略）的 navigate-to 指令，可以明确限制页面允许跳转的源，不过这个指令目前浏览器支持还不算完美，但值得一试。
警惕第三方脚本和广告联盟
很多跳转劫持的源头来自页面里嵌入的第三方JS，比如统计代码、广告联盟脚本。某个知名网站分析工具曾爆出过漏洞，攻击者通过XSS篡改该工具的脚本，导致所有使用该工具的站点跳转都被劫持。所以，对于第三方资源，建议启用SRI（子资源完整性校验），在script标签里加 integrity 属性，确保加载的脚本没有被篡改。同时尽量使用 async 或 defer 延迟加载非关键脚本，减少被恶意注入的时间窗口。另外，广告联盟的落地页跳转尤其危险，我亲眼见过某个游戏广告在用户点击后，先跳到一个正常页面，再通过iframe内部的JavaScript二次跳转到色情站点——这种多层嵌套劫持，防不胜防，唯一的办法是严格审查广告商的域名白名单，并开启广告位的点击事件自定义监控。
不要忽视用户端的感知和体验
有时候技术防住了，用户自己却成了漏洞。比如一些中老年用户看到“安全检测倒计时”的页面，会忍不住点击跳转按钮之外的区域，导致被额外的弹窗劫持。你可以在中转页上添加明确的文字提示，比如“请勿点击页面其他区域，倒计时结束后自动跳转”，甚至使用全屏遮罩层阻止误点击。我开发过一个落地防丢页，里面用了动画特效和倒计时，同时禁用了页面内的所有点击事件（除了跳转按钮），这样即使有恶意脚本注入，也无法通过点击触发额外跳转。当然，还得定期检查页面源代码，防止不知名的隐藏iframe或onclick属性。
最后说两句真心话
跳转劫持看起来是个小问题，但它直接摧毁用户对你的信任。我见过一个日活十几万的导航站，因为某个外链跳转被劫持成赌博站，导致大量用户投诉，流量下降了一半。所以别怕麻烦，把验证规则写死，把日志记录打开，每周抽几分钟扫描一下自己站点的出站链接。你可能会问，有没有一劳永逸的方案？坦白讲，没有，因为攻击手段也在进化。但只要你把上面这些基础工作做到位，绝大多数常规劫持就能被挡在门外。毕竟，用户点进你的页面，是带着期待的——别让一个跳转型的漏洞毁了这份信任。
評論（13）
白名單驗證真的重要，得補上。
還有如果用了第三方CDN，記得開啟SRI，不然CDN被汙染也完蛋。
那個HSTS預載入是怎麼設定的？可以詳細說一下嗎？
說用戶是漏洞有點扯，明明是設計要考慮到各種操作。
我之前搞導航站也是被劫持到色情站，流量掉超慘，後來全部加上noopener才解決。
廣告聯盟真的毒瘤，乾脆不用了。
看不太懂，但覺得好厲害。
這篇實用，收藏。
中老年用戶表示抗議 😂
那如果網站有用CDN加速，需要特別設定什麼嗎？會不會被CDN節點劫持？
SRI這招真的讚，之前不知道。
我上次幫朋友弄也是遇到中間人，嚇死。
純路人，吃瓜吃瓜。