Salesforce 中的外部重定向限制

重定向的受信 URL

每当 Salesforce 验证是否允许重定向的目标 URL 时，Salesforce 都会使用重定向的受信 URL 允许列表。

Salesforce 使用该允许列表来验证页面和组件中的重定向。对于使用 Salesforce Classic 访问 Salesforce 的用户，您可以选择根据该允许列表验证 Salesforce 中的超链接。

组件和页面内的重定向

在页面和组件中，始终允许指向外部 URL 的有效直接锚链接。直接锚链接的示例是 <a href="targetUrl">linkText</a>。

对于直接锚链接，如果目标 URL 语法检查失败，用户会收到错误，但重定向不会捕获到“设置”中的受信 URL 和浏览器策略违规列表。语法检查失败的错误 URL 示例是 https://malformed^url.example.com 和 https://mydomain.lightning.force.com/$test61'3。

在页面和组件中，Salesforce 会根据重定向的受信 URL 允许列表验证这些类型的重定向的目标 URL。

• 包含重定向的锚链接。例如，<a href="/?startURL=targetUrl">linkText</a> 包含通过 startURL 参数的重定向。
• 重定向用户的参数。例如，此表单操作通过 saveURL 参数重定向用户：<form action="/xyz?saveURL=targetURL">.

对于这些重定向，如果目标 URL 不在允许列表中，重定向将被阻止，用户将收到错误。此验证适用于在 Salesforce Classic 和 Lightning Experience 中访问 Salesforce 的用户。在这些情况下，当 Salesforce 阻止重定向时，阻止的重定向将被捕获到“设置”中的受信 URL 和浏览器策略违规列表中。如果重定向因目标 URL 语法检查失败而被阻止，则会在违反列表中捕获格式错误的 URL。

备注 为了帮助保持性能，如果在短时间内阻止了来自贵组织的大量重定向，则其中一些阻止的重定向可能无法在受信 URL 和浏览器策略违规列表中捕获。

在 Salesforce 中限制从超链接重定向

您可以指定当用户单击目标 URL 不在重定向的受信 URL 允许列表中的超链接时的行为。此功能的可用性因包含超链接的字段类型而异。

• 对于 URL 字段类型，对于通过 Lightning Experience 或 Salesforce Classic 访问 Salesforce 的用户，您可以限制从超链接重定向。“客户”页面上的网站字段是 URL 字段。
• 对于长文本区域字段类型，您只能限制通过 Salesforce Classic 访问 Salesforce 的用户从超链接重定向。“客户”页面上的描述字段是长文本区域字段的示例。

Salesforce 建议您在这些重定向期间警告用户。对于通过 Salesforce Classic 访问 Salesforce 的用户，警告消息包含用户未来Trust URL 的选项。

您也可以选择阻止这些重定向。从“设置”中，受信 URL 和浏览器策略违规列表中仅捕获源自 Salesforce Classic 的阻止重定向。

请参阅保护 Salesforce 中超链接的外部重定向。

备注 安全重定向到 Lightning Experience 中不受信任的网址是一项试点或 Beta 服务,它受协议 Salesforce.com 中的 Beta 服务条款或书面统一试点协议(如果由客户执行)以及产品条款目录中适用条款的约束。客户可自行决定使用此试用或 Beta 版服务。

重定向到贵组织内的跨来源 URL

还有最后一个特殊情况需要解决。Salesforce 为您的 Salesforce 组织提供多个 URL，并非所有这些 URL 共享一个域。通常，只有当目标域在重定向的受信 URL 允许列表中时，才允许重定向到不同的域。但是，Salesforce 允许在同一组织中进行这些跨源重定向。

例如，在 MyDomainName--c.vf.force.com 上提供的 Visualforce 页面可以包含指向在 MyDomainName.my.site.com 上由同一组织提供服务的站点页面的链接。此外，当您更改 My Domain 名称并启用从以前的 My Domain 重定向时，将允许从以前的 My Domain URL 进行跨来源重定向。例如，允许从 oldMyDomainName.my.salesforce.com 重定向到 newMyDomainName.lightning.force.com，因为这些 URL 属于同一个组织。

获取有关已阻止重定向的信息

要管理 Salesforce 跟踪的已阻止重定向，请使用“设置”中的受信 URL 和违反浏览器策略列表。该违反列表包括过去 7 天内发生的阻止重定向。

要获取有关这些已阻止重定向的更多信息，包括重定向起始的页面，请使用已阻止重定向事件类型。要随着时间的推移跟踪违反情况，请计划该事件类型的每日查询。请查看 Salesforce 平台对象引用中的阻止重定向事件类型