fix(back): index 页 back 校验拒绝 nested back + 调整测试断言

resources/views/admin/platform_orders/index.blade.php

@@ -25,7 +25,10 @@
         $back = (string) request()->query('back', '');
         // 为避免 & 被 Blade escape 成 & 导致回退上下文丢失，这里需要原样输出 href。
         // 安全护栏：必须为站内相对路径，并拒绝引号/尖括号，降低 XSS 风险。
-        $safeBack = (str_starts_with($back, '/') && !preg_match('/["\'<>]/', $back))
+        $safeBack = (str_starts_with($back, '/')
+            && !preg_match('/["\'<>]/', $back)
+            // back 本身不应再包含 back（避免无限嵌套导致 URL 膨胀）
+            && !preg_match('/(?:^|[?&])back=/', $back))
             ? $back
             : '';
     @endphp
@@ -113,7 +116,10 @@
 
         // “全部”：清空筛选，但保留 back（用于返回来源页）
         $incomingBack = (string) request()->query('back', '');
-        $safeBack = (str_starts_with($incomingBack, '/') && !preg_match('/["\'<>]/', $incomingBack))
+        $safeBack = (str_starts_with($incomingBack, '/')
+            && !preg_match('/["\'<>]/', $incomingBack)
+            // back 本身不应再包含 back（避免无限嵌套导致 URL 膨胀）
+            && !preg_match('/(?:^|[?&])back=/', $incomingBack))
             ? $incomingBack
             : '';
         $allUrl = '/admin/platform-orders';