[260619] TIL

Today I Learned (2026-06-19)

로그인 후 원래 경로로 돌려보내기 (redirect-after-login)

• 미인증 사용자를 로그인으로 보낼 때 원래 가려던 경로를 ?redirect=/원래경로로 함께 실어 보내고, 로그인에 성공하면 홈이 아니라 그 경로로 되돌려 보내는 패턴이다.
• 이때 redirect 값이 /로 시작하는 내부 경로인지 반드시 검증해야 한다. 검증을 빼면 //evil.com 같은 외부 URL로 유도하는 오픈 리다이렉트(피싱)에 악용될 수 있다.