今日安全题 #12

这是 2026-11-12 的题目。 阅读代码，选出最严重的安全漏洞。

这段代码会在登录后将用户送回原先浏览的页面。最严重的漏洞是什么？

1app.post('/login', async (req, res) => {
2  const user = await authenticate(req.body.id, req.body.password);
3  if (!user) return res.status(401).send('登录失败');
4  req.session.userId = user.id;
5  res.redirect(req.query.next || '/');
6});

1. A登录失败消息过于详细
2. B必须对密码进行哈希处理才能防止会话固定攻击
3. Credirect 不能用于 POST 请求
4. D可以在 next 中填入外部地址，将用户引向钓鱼网站（开放重定向）