Почему это важно
Проверку одной строки URL легко обойти перенаправлением, необычной записью IP-адреса, подменой DNS или неожиданной схемой.
Что подтверждено
Когда внешние сервисы известны, приложение разрешает конкретные IP-адреса или доменные имена и проверяет ввод без обращения к DNS на этапе разбора.
Граница применимости: Защита от SSRF с фиксированным списком адресов.
Полная проверка учитывает схему, порт, полученный IP-адрес и перенаправления; автоматический переход отключают, чтобы уже проверенный URL не привёл к запрещённой цели.
Граница применимости: Применение ограничений к адресу исходящего запроса.
Что проверить
- Разрешите только нужные схемы, имена узлов и порты.
- Проверьте полученный IP-адрес.
- Запретите автоматические перенаправления.
Первоисточники
Server Side Request Forgery Prevention Cheat Sheet
OWASP Foundation · OWASP Cheat Sheet Series, checked 30 August 2026
Описывает SSRF, allowlist destinations, IP/domain validation, DNS risks и запрет автоматических redirects.
Открыть первоисточник