From e378973f05e2204a0d6711695ab0bb89bdb59157 Mon Sep 17 00:00:00 2001 From: =?UTF-8?q?=E8=90=9D=E5=8D=9C?= Date: Sat, 14 Mar 2026 22:42:47 +0000 Subject: [PATCH] Subscriptions: unify back safety guard in show --- .../admin/site_subscriptions/show.blade.php | 19 ++++++------------- 1 file changed, 6 insertions(+), 13 deletions(-) diff --git a/resources/views/admin/site_subscriptions/show.blade.php b/resources/views/admin/site_subscriptions/show.blade.php index d09505c..aced7e0 100644 --- a/resources/views/admin/site_subscriptions/show.blade.php +++ b/resources/views/admin/site_subscriptions/show.blade.php @@ -13,6 +13,10 @@ // back 参数用于“返回上一页（保留上下文）”，但 back 本身不应再包含 back（避免无限嵌套导致 URL 膨胀） $selfWithoutBack = \App\Support\BackUrl::selfWithoutBack(); + // back 安全护栏（全页通用）：用于 `{!! !!}` 输出的 href（避免 & 破坏回链） + $incomingBack = (string) request()->query('back', ''); + $safeBackForLinks = \App\Support\BackUrl::sanitizeForLinks($incomingBack); + $makePlatformOrderUrl = function (array $query) use ($platformOrdersBaseUrl, $selfWithoutBack) { // 若调用方显式传了 back，则不覆盖；否则默认回到当前订阅详情页（剔除 back，避免嵌套） $query = $query + ['back' => $selfWithoutBack]; @@ -114,13 +118,7 @@
@php - $incomingBack = (string) request()->query('back', ''); - // back 安全护栏： - // - 仅允许站内相对路径（/ 开头） - // - 拒绝引号/尖括号 - // - 拒绝 nested back=（避免 URL 膨胀/绕过） - // 说明：下方 href 采用原样输出以避免 & 影响回链/断言。 - $safeBackForLinks = \App\Support\BackUrl::sanitizeForLinks($incomingBack); + // $safeBackForLinks 已在页头统一计算，这里不重复构造，避免口径漂移。 @endphp @if($safeBackForLinks !== '') @@ -406,12 +404,7 @@ // 重要：这里的筛选链接需要保留 back，否则点击后会丢失“返回上一页（保留上下文）”能力。 // 同时：href 中会包含多个 query 参数，必须使用 `{!! !!}` 原样输出，避免 `&` 被转义为 `&`。 - $incomingBack = (string) request()->query('back', ''); - $safeBackForLinks = (str_starts_with($incomingBack, '/') - && !preg_match('/["\'<>]/', $incomingBack) - && !preg_match('/(?:^|[?&])back=/', $incomingBack)) - ? $incomingBack - : ''; + // $safeBackForLinks 已在页头统一按 BackUrl::sanitizeForLinks 计算。 $baseQuery = request()->query(); unset($baseQuery['order_sync_status']);