攻：
1.已知：本系统中输入银行卡号的页面URL为 http://www.hello.com/pay.jsp。登录合点击某链接即可进入此页面
2.攻击者不登录，直接输入http://www.hello.com/pay.jsp
3.系统提示登录，提示页面的URL是 http://www.hello.com/login.jsp?
redir=pay.jsp
4.攻击者把地址栏里的页面改成 http://www.hello.com/login.jsp?
redir=http://www.hallo.com/pay.jsp，并想办法让别的用户点这个URL
5.上当者点这个URL，进入http://www.
hallo.com 的卡号输入页面，然后糊里糊涂地把卡号信息提交给 http://www.
hallo.com这个钓鱼网站
防：
1.系统不应该从参数中获取重定向的目标地址
2.如果必须要从参数中获取，则应该校验参数中的URL是相对URL