Checkmarx | DOM_Open_Redirect

問題

程式中的 js 檔中，在 click event 中，從 DOM 取得它的屬性做為 url 去改變 Anchor 的 href 屬性。
Checkmarx 就會出 Client_Potential_DOM_Open_Redirect 的問題，
從 attr 到 href

解法

原本的 js 類似如下，

var actionUrl = $tablist.attr("action-url");
//.... other codes
var a = document.createElement("a");
a.target = "_blank";
a.href = actionUrl;

因為 url 是從 DOM 屬性得，所以有被竄改的風險。
所以修改方式有以下方式，

1.固定的 url

//var actionUrl = $tablist.attr('action-url');
var actionUrl = "https://localhost/doc/action/";
//.... other codes
var a = document.createElement("a");
a.target = "_blank";
a.href = actionUrl;

2.從 Server 端取回需要的 url

//var actionUrl = $tablist.attr('action-url');
var urlId = $tablist.attr("action-url-id");
var actionUrl = "";
fetch("./api/urls/" + urlId)
  .then((response) => response.json())
  .then((data) => (actionUrl = data.url));
//.... other codes
var a = document.createElement("a");
a.target = "_blank";
a.href = actionUrl;