diff --git a/resources/views/admin/site_subscriptions/show.blade.php b/resources/views/admin/site_subscriptions/show.blade.php
index d09505c..aced7e0 100644
--- a/resources/views/admin/site_subscriptions/show.blade.php
+++ b/resources/views/admin/site_subscriptions/show.blade.php
@@ -13,6 +13,10 @@
// back 参数用于“返回上一页(保留上下文)”,但 back 本身不应再包含 back(避免无限嵌套导致 URL 膨胀)
$selfWithoutBack = \App\Support\BackUrl::selfWithoutBack();
+ // back 安全护栏(全页通用):用于 `{!! !!}` 输出的 href(避免 & 破坏回链)
+ $incomingBack = (string) request()->query('back', '');
+ $safeBackForLinks = \App\Support\BackUrl::sanitizeForLinks($incomingBack);
+
$makePlatformOrderUrl = function (array $query) use ($platformOrdersBaseUrl, $selfWithoutBack) {
// 若调用方显式传了 back,则不覆盖;否则默认回到当前订阅详情页(剔除 back,避免嵌套)
$query = $query + ['back' => $selfWithoutBack];
@@ -114,13 +118,7 @@
@php
- $incomingBack = (string) request()->query('back', '');
- // back 安全护栏:
- // - 仅允许站内相对路径(/ 开头)
- // - 拒绝引号/尖括号
- // - 拒绝 nested back=(避免 URL 膨胀/绕过)
- // 说明:下方 href 采用原样输出以避免 & 影响回链/断言。
- $safeBackForLinks = \App\Support\BackUrl::sanitizeForLinks($incomingBack);
+ // $safeBackForLinks 已在页头统一计算,这里不重复构造,避免口径漂移。
@endphp
@if($safeBackForLinks !== '')
@@ -406,12 +404,7 @@
// 重要:这里的筛选链接需要保留 back,否则点击后会丢失“返回上一页(保留上下文)”能力。
// 同时:href 中会包含多个 query 参数,必须使用 `{!! !!}` 原样输出,避免 `&` 被转义为 `&`。
- $incomingBack = (string) request()->query('back', '');
- $safeBackForLinks = (str_starts_with($incomingBack, '/')
- && !preg_match('/["\'<>]/', $incomingBack)
- && !preg_match('/(?:^|[?&])back=/', $incomingBack))
- ? $incomingBack
- : '';
+ // $safeBackForLinks 已在页头统一按 BackUrl::sanitizeForLinks 计算。
$baseQuery = request()->query();
unset($baseQuery['order_sync_status']);