JavaScript 验证 URL 的两种核心方法与安全性分析

Ada

发布时间：2026-10-13| 4人浏览过

原创

在 Web 开发中，对用户上传或交互生成的 URL 进行严格验证是防止恶意脚本注入和服务器端请求伪造（SSRF）的关键步骤。本文详细介绍如何利用 JavaScript 内置的 URL 构造函数进行标准化解析，以及如何通过正则表达式进行格式匹配，同时剖析仅依赖客户端验证的安全隐患，提供从前端到后端的完整安全验证思路。

为什么要进行 URL 验证

JavaScript 常被用于处理浏览器历史导航、锚点定位及查询参数解析。然而，频繁操作 URL 也带来了安全风险，攻击者可能利用未经验证的 URL 执行恶意脚本注入或发起 SSRF 攻击。当应用程序获取远程资源而未遵循安全编码规范时，这些漏洞极易被利用。因此，确保 URL 符合正确的语法结构是保障应用安全的基础。

一个标准的 URL 包含协议、域名、主机名、资源路径、端口等片段。验证过程即检查这些组件是否符合互联网标准，例如确认是否使用了安全的协议（如 https），主机名是否合法，以及端口是否在有效范围内（1-65536）。对于涉及用户凭证的 URL，还需特别注意用户名和密码字段的安全性。

使用 new URL 构造函数验证

在现代 JavaScript 环境（包括浏览器和 Node.js）中，最推荐且最简单的 URL 验证方法是使用内置的 new URL() 构造函数。它基于 WHATWG URL Standard，能够自动解析并标准化 URL。

第 1 步：基础有效性检测

目的： 判断输入字符串是否为符合语法的绝对或相对 URL。

操作： 将待检字符串传入构造函数。如果字符串无法被解析为有效 URL，构造函数将抛出异常；若成功，则返回一个包含各部分信息的 URL 对象。

function checkUrl(string) {
  let givenURL;
  try {
      givenURL = new URL(string);
  } catch (error) {
      console.log("Invalid URL structure", error);
      return false; 
  }
  return true;
}

注意： 该方法对“非常规但合法”的 URL 也会判定为真。例如，ftp://.. 虽然看似无效，但因 . 被识别为主机名，会被判定为合法。开发者需结合业务场景决定是否接受此类边缘情况。

第 2 步：限制允许的协议（Protocol）

目的： 防止非法协议（如 javascript:、data:）导致的 XSS 攻击，或限制仅限内网访问（http/https）。

操作： 在创建 URL 对象后，检查其 protocol 属性。

function checkHttpUrl(string) {
  let givenURL;
  try {
      givenURL = new URL(string);
  } catch (error) {
      console.log("Error parsing URL", error);
      return false;  
  }
  // 仅允许 http 和 https 协议
  return givenURL.protocol === "http:" || givenURL.protocol === "https:";
}

此方法能有效拦截 ftp://、mailto: 等非 HTTP/HTTPS 链接，适合需要严格控制资源来源的场景。

第 3 步：解析与组装 URL 片段

目的： 提取或修改 URL 的特定部分，如主机名、路径名。

操作： 利用 URL 对象的属性直接访问各个组成部分。

let adr = new URL("https://snyk.io/en-US/docs");
console.log(adr.host);    // "snyk.io"
console.log(adr.pathname); // "/en-US/docs"

此外，可以使用 base 参数来处理相对 URL。例如，new URL("/path", "https://example.com") 将返回 https://example.com/path。若提供的是绝对 URL，则忽略 base 参数。

使用正则表达式验证

除了内置对象，正则表达式也是常见的验证手段。然而，这种方法维护成本高且存在性能风险。

基本实现

操作： 编写涵盖 http/https、域名格式的正则模式进行匹配。

function isValidURL(string) {
    var res = string.match(
        /(https?:\/\/(?:www\.|(?!www))[a-zA-Z0-9][a-zA-Z0-9-]+[a-zA-Z0-9]\.[^\s]{2,}|www\.[a-zA-Z0-9][a-zA-Z0-9-]+[a-zA-Z0-9]\.[^\s]{2,}|https?:\/\/(?:www\.|(?!www))[a-zA-Z0-9]+\.[^\s]{2,}|www\.[a-zA-Z0-9]+\.[^\s]{2,})/gi
    );
    return (res !== null);
}

该函数通过测试输入字符串是否匹配预设的模式来判断合法性。简单的域名如 http://helloworld.com 会返回 true，而纯文本 helloWorld 返回 false。

正则验证的局限性

尽管正则表达式直观，但它存在显著缺陷： 1. **复杂性**：URL 规则极其繁杂，很难用单一正则覆盖所有边界情况。 2. **性能风险**：复杂的正则可能导致“灾难性回溯”（Catastrophic Backtracking），使 CPU 满载甚至冻结浏览器。 3. **安全性弱**：它只能验证格式，无法像 URL 构造函数那样提供结构化的对象以供进一步安全审计。