15.12. Open redirectors

open redirector 是一个使用参数的端点，可自动将用户代理重定向到参数值指定的位置，而无需验证。攻击者可以使用最终用户授权端点和 redirect URI 参数，使用授权服务器中的用户信任来启动攻击。

Red Hat build of Keycloak 要求所有注册的应用程序和客户端都至少注册一个重定向 URI 模式。当红帽构建的 Keycloak 的客户端请求执行重定向时，Red Hat build of Keycloak 会根据有效注册 URI 模式列表检查重定向 URI。客户端和应用程序必须以特定 URI 模式注册，以便缓解开放重定向器攻击。

如果应用程序需要一个非 http (s)自定义方案，它应该是验证模式的显式部分（如 custom:/app8:0:1::）。为了安全起见，常规模式（如 * ）并不涵盖非 http。