硬化重定向处理:删除敏感的报头、跨源并限制重定向方案
作者: rodrgds创建于 2026年9月21日更新于 2026年9月21日
桌面请求引擎使 libcurl 内部跟踪重定向,并且 libcurl 会向每个重定向目标发送自定义 HTTPHEADER 头,包括跨源主机。它只会保留授权和 Cookie。Insomnia 默认情况下会跟踪重定向,因此一个重定向的服务器可以接收原始主机所指定的秘密自定义头,例如 API 密钥。我也注意到,重定向目标从来没有受到协议限制。file:// 保护只会检查初始 URL,因此重定向到 file://、gopher:// 或 ftp:// 都交给 libcurl 处理。我认为应该改变的内容如下:
内容来源: Kong/insomnia