还在用点击跳转？12年技术预研告诉你这早该淘汰了

　　扫描器进度条卡在37%那会儿，我正盯着整改单上的「点击跳转」四个字发呆——这破玩意儿去年十二月份就报过高危，业务死活不认，说「用户用惯了」。结果上周漏扫又报，影响面直接翻了三倍，开发那边才松口说「要不试试无感跳转？」我原以为他们早把这事儿忘了，结果日志里撞库攻击的IP分布图，全集中在带跳转链接的页面，这他妈叫用惯了？

　　老张叼着烟凑过来，电脑屏幕上是他刚写的WAF规则：「你说这帮人是不是傻？点击跳转等于把入口焊在门框上，爬虫稍微改个User-Agent就能绕过风控。」他敲了敲键盘，监控大屏上某业务线的请求量突然暴跌——「看，我刚把跳转参数拉黑，流量直接掉了一半，说明至少一半是垃圾请求。」窗外下了一下午雨，打印机在角落里吐纸，吐出来的全是带「点击跳转」字样的旧文档，风一吹糊了一地。

　　可业务不认这个理。上周五复盘会，产品经理拍着桌子说：「用户点个链接就要跳转，这体验多差！你们安全部能不能别总搞这些反人类的设计？」我指着日志里被爬取的用户数据：「体验差总比数据泄露强吧？」他冷笑：「泄露了吗？没泄露你在这儿危言耸听什么？」门禁突然嘀嘀响，外卖小哥拎着奶茶站在玻璃门外，我低头看表——这破会开了两小时，扫描器进度条才走到58%。

　　我原以为「点击跳转」的危害也就到撞库为止，结果上周黑产用这玩意儿搞出了新花样。他们在跳转链接里嵌了动态token，每次请求都变，风控规则根本抓不到。更绝的是，部分业务为了「提升体验」，把跳转页面做成了iframe嵌套，等于在自家页面里开了个后门——黑产直接通过iframe注入恶意代码，都不用碰主站。等保测评的时候，专家指着这条说「这是典型的高危漏洞」，业务负责人还在辩解：「但用户点击率确实高啊…」

　　茶水间的灯没关，亮得刺眼。我靠在椅子上翻整改单，发现去年十二月份那批「点击跳转」漏洞，到现在还有三个业务线没修。其中一个还是核心支付页面，影响面标注的是「高」，可开发给的处置时长是「三个月」。我问他们为什么拖这么久，回答是「改跳转逻辑要动前端架构，测试周期太长」。我指着日志里被爬取的支付账号：「这三个月够黑产把数据库搬空了。」他们不说话，低头刷手机，屏幕上显示着「用户点击率提升方案」。

　　跑题说句外包——上周合规检查，发现某外包团队写的跳转接口连基本的参数校验都没有，直接把目标URL拼进SQL语句里。我让他们改，他们说「客户要求快速上线，先这样，后面再优化」。结果昨天漏扫报了SQL注入，影响面是「全量用户」。我找外包负责人理论，他摊手：「我们只负责写代码，安全是你们的事。」我差点把咖啡杯摔他脸上——这他妈叫什么事？

　　回到「点击跳转」本身，优胜劣汰的道理在这儿特别明显。无感跳转、直接加载、预加载这些技术早就成熟了，可就是有人抱着旧东西不放。上周我试了某业务的新版本，把跳转改成了页面内加载，用户甚至感觉不到变化，但日志里垃圾请求少了80%。我把数据甩给产品经理，他看了五分钟，说「这数据是不是有问题？用户怎么可能没发现？」我指着监控大屏：「用户没发现，但黑产发现了——他们现在正疯狂攻击旧版本的跳转链接。」

　　桌上那台旧笔记本风扇响得厉害，是我在测旧版本的跳转漏洞。屏幕上是密密麻麻的请求日志，其中一条特别刺眼——某个IP在十分钟内发了两万次跳转请求，返回码全是200。我查了下，这IP属于某家知名的数据爬取公司。我把截图发给风控，他们回「已知，在处理」。可处理了三个月，那IP还在活跃。我问为什么，回答是「怕误伤真实用户」。我差点笑出声——真实用户会十分钟发两万次请求？

文章配图，仅供参考

　　所以回到最初的观点——「点击跳转」早该淘汰了。不是因为它不安全，而是因为安全只是最基础的底线，而它连底线都守不住。业务总说「用户用惯了」，可用户真的用惯了吗？还是他们只是懒得改？上周我做了个小测试，把某页面的跳转改成直接加载，用户反馈里没人提「体验变差」，反而有人说「加载变快了」。你看，用户根本不在乎跳不跳转，他们在乎的是「快」和「安全」。

　　下一步打算是硬推无感跳转——等保测评卡着，黑产盯着，业务再拖下去，迟早出大事。至于那些还在用「点击跳转」的业务线…算了，不细说。反正漏洞报告已经发了，整改单也签了，到时候出问题，责任在谁，一目了然。

（编辑：PHP编程网 - 钦州站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!