大家好，欢迎来到今天的“WordPress安全小课堂”。今天我们要聊聊WordPress里一个非常重要，但经常被忽略的函数——wp_safe_redirect()。 别看它名字平平无奇，它可是抵御开放重定向攻击的一道重要防线。
那么，什么是开放重定向攻击？为什么我们需要wp_safe_redirect()？ 让我们带着这些问题，一起深入源码，揭开它的神秘面纱。
一、什么是开放重定向攻击？
想象一下，你收到一封邮件，里面有个链接看起来很正常，比如：
https://example.com/login?redirect_to=https://yourbank.com
你点击了这个链接，先访问了example.com的登录页面，登录后，页面按照redirect_to参数的指示，跳转到了https://yourbank.com。看起来一切都很顺利，对吧？
但是，如果这个链接变成了这样呢？
https://example.com/login?redirect_to=https://evilsite.com
这次，登录后，你被重定向到了https://evilsite.com。这个evilsite.com可能是一个钓鱼网站，它伪装成你的银行，骗取你的用户名和密码。
这就是开放重定向攻击。攻击者利用网站的重定向功能，将用户重定向到恶意网站，从而窃取用户信息或进行其他恶意活动。
简单来说，开放重定向就是网站允许用户通过URL参数控制重定向的目标地址，而没有进行充分的验证，导致攻击者可以随意指定重定向的目标，进行钓鱼或其他恶意活动。
二、为什么wp_safe_redirect()很重要？
WordPress作为一个广泛使用的内容管理系统，自然也需要防范开放重定向攻击。wp_safe_redirect()就是WordPress提供的一个安全重定向函数，它的作用是：
- 验证重定向目标地址： 确保重定向的目标地址是安全的，防止重定向到恶意网站。
- 防止URL篡改： 降低攻击者通过篡改URL参数来控制重定向目标的风险。
三、wp_safe_redirect()源码剖析
好了，铺垫了这么多，终于要进入正题了。让我们一起来看看wp_safe_redirect()的源码（位于wp-includes/functions.php）：
function wp_safe_redirect( $location, $status = 302, $x_redirect_by = 'WordPress' ) {
// If the admin is requesting a redirect, prevent intermediate redirects.
if ( doing_action( 'admin_init' ) && ! headers_sent() ) {
remove_action( 'admin_init', 'wp_maybe_redirect_404' );
}
$location = wp_sanitize_redirect( $location );
/**
* Filters the safe redirect location.
*
* @since 3.0.0
*
* @param string $location The redirect location.
* @param int $status The HTTP response status code.
*/
$location = apply_filters( 'wp_safe_redirect', $location, $status );
// Kill the script, unless it's a AJAX request.
if ( ! wp_doing_ajax() ) {
wp_redirect( $location, $status, $x_redirect_by );
exit;
} else {
wp_send_json_success( array( 'redirect' => $location ) );
}
}乍一看，代码不多，但每一行都蕴含着安全考量。让我们逐行分析：
-
if ( doing_action( 'admin_init' ) && ! headers_sent() ) { ... }：这段代码主要针对后台管理界面。如果在admin_init钩子上执行，并且还没有发送HTTP头部，就移除wp_maybe_redirect_404这个action。wp_maybe_redirect_404的功能是可能将不存在的URL重定向到404页面。 这里移除它的目的是防止在后台管理界面产生不必要的中间重定向，保持重定向流程的清晰可控。 -
$location = wp_sanitize_redirect( $location );： 这是最关键的一步！ 它调用了wp_sanitize_redirect()函数，对重定向的URL进行清理和验证。wp_sanitize_redirect()是wp_safe_redirect()的核心安全保障。 我们稍后会深入分析这个函数。 -
$location = apply_filters( 'wp_safe_redirect', $location, $status );： 这里使用了WordPress的过滤器（Filter）机制。 允许开发者通过wp_safe_redirect过滤器，对重定向的URL进行额外的处理。 这提供了更大的灵活性，可以根据实际需求添加自定义的安全验证逻辑。 -
if ( ! wp_doing_ajax() ) { ... } else { ... }： 这段代码判断是否是AJAX请求。 如果是AJAX请求，则不直接重定向，而是返回一个JSON响应，包含重定向的URL。 如果不是AJAX请求，则使用wp_redirect()函数进行重定向，并终止脚本执行。
四、wp_sanitize_redirect()源码深度解析
现在，让我们把目光聚焦到wp_sanitize_redirect()函数。 它是wp_safe_redirect()的核心，也是抵御开放重定向攻击的关键。
function wp_sanitize_redirect( $location ) {
$location = wp_kses_no_null( $location );
// Remove control characters.
$location = preg_replace( '/[[:cntrl:]]/', '', $location );
// Get the allowed hosts from the allowed redirect hosts option.
$allowed_redirect_hosts = wp_allowed_redirect_hosts();
$location = wp_validate_redirect( $location, home_url(), $allowed_redirect_hosts );
return $location;
}这个函数做了以下几件事：
-
$location = wp_kses_no_null( $location );： 这个函数用于移除字符串中的NULL字符。 NULL字符在某些情况下可能被用于绕过安全检查，因此需要移除。 -
$location = preg_replace( '/[[:cntrl:]]/', '', $location );： 这个函数使用正则表达式移除字符串中的控制字符。 控制字符也可能被用于绕过安全检查。 -
$allowed_redirect_hosts = wp_allowed_redirect_hosts();： 这个函数获取允许重定向的主机列表。 这个列表通常包含你的网站域名，以及你信任的其他域名。 -
$location = wp_validate_redirect( $location, home_url(), $allowed_redirect_hosts );： 这是最重要的一步！ 它调用了wp_validate_redirect()函数，对重定向的URL进行验证。wp_validate_redirect()函数会检查URL是否在允许的主机列表中，如果不在，则将其重定向到网站首页。
五、wp_validate_redirect()源码解密
最后，让我们深入wp_validate_redirect()函数，看看它是如何验证重定向URL的：
function wp_validate_redirect( $location, $default = '', $allowed_hosts = null ) {
$location = wp_kses_no_null( $location );
// Remove control characters.
$location = preg_replace( '/[[:cntrl:]]/', '', $location );
if ( ! is_string( $location ) ) {
return $default;
}
$original = $location;
$location = wp_http_validate_url( $location );
if ( ! $location ) {
return $default;
}
$location_host = parse_url( $location, PHP_URL_HOST );
if ( $location_host ) {
if ( null === $allowed_hosts ) {
$allowed_hosts = wp_allowed_redirect_hosts();
}
if ( ! in_array( $location_host, $allowed_hosts, true ) ) {
$sanitized_location = wp_sanitize_url( $original ); // Sanitize before passing to the filter.
/**
* Filters the safe redirect location.
*
* @since 4.5.0
*
* @param string $default The redirect location if not safe.
* @param string $location The redirect location.
* @param string $location_host The host of the redirect location.
* @param string $original The original redirect location passed into the function.
*/
$location = apply_filters( 'wp_safe_redirect_fallback', $default, $sanitized_location, $location_host, $original );
return $location;
}
}
return $location;
}-
$location = wp_kses_no_null( $location );和$location = preg_replace( '/[[:cntrl:]]/', '', $location );: 再次进行NULL字符和控制字符的清理。 -
if ( ! is_string( $location ) ) { return $default; }: 检查$location是否为字符串类型，如果不是，则返回默认的重定向地址。 -
$location = wp_http_validate_url( $location );: 使用wp_http_validate_url()函数验证URL的格式是否正确。如果URL格式不正确，则返回false。 -
$location_host = parse_url( $location, PHP_URL_HOST );: 使用parse_url()函数提取URL的主机名。 -
if ( ! in_array( $location_host, $allowed_hosts, true ) ) { ... }: 检查主机名是否在允许的主机列表中。如果不在，则使用apply_filters( 'wp_safe_redirect_fallback', ... )应用wp_safe_redirect_fallback过滤器，允许开发者自定义fallback行为。默认情况下，这个过滤器通常会将URL重定向到网站首页。
六、wp_allowed_redirect_hosts()：允许的重定向主机
还有一个重要的函数我们需要了解，那就是wp_allowed_redirect_hosts()。它定义了允许重定向的主机列表。
function wp_allowed_redirect_hosts() {
$allowed_hosts = (array) apply_filters( 'allowed_redirect_hosts', array(
wp_parse_url( home_url(), PHP_URL_HOST ),
) );
$allowed_hosts = array_unique( $allowed_hosts );
$allowed_hosts = array_filter( $allowed_hosts, 'is_string' );
$allowed_hosts = array_map( 'strtolower', $allowed_hosts );
return $allowed_hosts;
}这个函数做了以下几件事：
-
$allowed_hosts = (array) apply_filters( 'allowed_redirect_hosts', array( wp_parse_url( home_url(), PHP_URL_HOST ), ) );: 首先，它获取网站的域名（使用home_url()函数获取网站首页的URL，然后使用wp_parse_url()函数提取主机名）。 然后，它应用allowed_redirect_hosts过滤器，允许开发者添加其他允许重定向的主机名。 -
$allowed_hosts = array_unique( $allowed_hosts );: 移除重复的主机名。 -
$allowed_hosts = array_filter( $allowed_hosts, 'is_string' );: 确保所有主机名都是字符串类型。 -
$allowed_hosts = array_map( 'strtolower', $allowed_hosts );: 将所有主机名转换为小写。
七、 总结：wp_safe_redirect()的工作流程
现在，让我们把整个流程串起来，总结一下wp_safe_redirect()的工作流程：
-
wp_safe_redirect()接收一个URL作为参数。 -
wp_safe_redirect()调用wp_sanitize_redirect()对URL进行清理和验证。 -
wp_sanitize_redirect()首先移除URL中的NULL字符和控制字符。 -
wp_sanitize_redirect()调用wp_validate_redirect()进行URL验证。 -
wp_validate_redirect()首先验证URL的格式是否正确。 -
wp_validate_redirect()提取URL的主机名。 -
wp_validate_redirect()检查主机名是否在允许的主机列表中（通过wp_allowed_redirect_hosts()获取）。 -
如果主机名不在允许的主机列表中，
wp_validate_redirect()应用wp_safe_redirect_fallback过滤器，将URL重定向到默认地址（通常是网站首页）。 -
wp_safe_redirect()应用wp_safe_redirect过滤器，允许开发者进行额外的处理。 -
wp_safe_redirect()根据请求类型（AJAX或非AJAX）进行重定向。
八、 如何使用wp_safe_redirect()？
使用wp_safe_redirect()非常简单。只需要将你要重定向的URL作为参数传递给它即可：
$redirect_url = 'https://example.com/somepage';
wp_safe_redirect( $redirect_url );
exit;九、 扩展：如何自定义允许的重定向主机？
如果你需要允许重定向到其他域名，可以使用allowed_redirect_hosts过滤器：
add_filter( 'allowed_redirect_hosts', 'my_custom_allowed_redirect_hosts' );
function my_custom_allowed_redirect_hosts( $allowed_hosts ) {
$allowed_hosts[] = 'example.com';
$allowed_hosts[] = 'anotherdomain.net';
return $allowed_hosts;
}这段代码会将example.com和anotherdomain.net添加到允许的重定向主机列表中。
十、 安全建议
-
始终使用
wp_safe_redirect()进行重定向。 这是最简单也是最有效的防范开放重定向攻击的方法。 -
谨慎添加允许的重定向主机。 只允许重定向到你信任的域名。
-
定期审查你的代码，确保没有潜在的开放重定向漏洞。
十一、wp_safe_redirect() 和 wp_redirect() 的区别
| 功能 | wp_safe_redirect() |
wp_redirect() |
|---|---|---|
| 安全性 | 安全，验证重定向目标地址，防止开放重定向攻击。 | 不安全，不进行任何验证，容易受到开放重定向攻击。 |
| 验证机制 | 使用 wp_sanitize_redirect() 和 wp_validate_redirect() 验证 URL，检查是否在允许的主机列表中。 |
无任何验证。 |
| 使用场景 | 推荐用于所有重定向场景，尤其是当重定向目标地址来自用户输入时。 | 一般用于内部重定向，或者在已经确保重定向目标地址安全的情况下使用。 |
| 默认行为 | 如果重定向目标地址不安全，默认会重定向到网站首页（可以通过 wp_safe_redirect_fallback 过滤器修改）。 |
无论目标地址是否安全，都会尝试进行重定向。 |
| 过滤器（Filters） | 提供 wp_safe_redirect 和 wp_safe_redirect_fallback 过滤器，允许开发者自定义重定向行为和添加额外的安全验证逻辑。 |
提供 wp_redirect 过滤器，允许开发者修改重定向目标地址。 |
十二、 总结
wp_safe_redirect()是WordPress中一个非常重要的安全函数，它可以有效地防止开放重定向攻击。通过深入理解它的源码，我们可以更好地利用它来保护我们的网站。记住，安全无小事，时刻保持警惕，才能构建一个更安全的网络世界。
今天的“WordPress安全小课堂”就到这里了。希望大家有所收获！ 感谢大家的收听，下次再见！