当前位置：首页 > news >正文

剖析PHPCMS tag_list.html模板：为何首页链接会触发about:blank#blocked

news 2026/7/14 10:37:35

1. 问题现象与背景分析

最近在调试一个基于PHPCMS的网站时，遇到了一个奇怪的问题：当用户点击文章内容页的tag关键词标签时，系统会跳转到搜索列表页（对应模板文件content/tag_list.html），但页面中的首页链接和网站logo链接点击后都会跳转到about:blank#blocked页面，而不是预期的首页。这个问题只在tag_list.html模板渲染的页面出现，其他页面都正常。

我仔细检查了模板代码，发现首页链接的写法是{siteurl($siteid)}/，看起来完全符合PHPCMS的模板语法规范。更奇怪的是，如果把链接改成{siteurl($siteid)}（去掉末尾的斜杠），问题就消失了。这让我意识到，问题可能出在URL生成和浏览器安全策略的交互上。

2. 浏览器安全机制解析

2.1 about:blank#blocked的含义

当浏览器显示about:blank#blocked时，通常表示它阻止了一个可能不安全的操作。现代浏览器（如Chrome、Firefox）都有严格的安全策略，会拦截它们认为可疑的URL请求。具体到我们的案例，浏览器可能认为带有斜杠结尾的URL存在安全风险。

我查阅了Chromium的源码后发现，当URL解析器遇到某些特殊字符组合时，会触发安全机制。斜杠在URL中有特殊含义，浏览器可能会将其解释为试图访问本地文件系统或执行脚本的尝试，特别是在动态生成的URL中。

2.2 安全策略的具体表现

浏览器的安全策略主要体现在以下几个方面：

同源策略：限制不同源之间的资源访问
混合内容拦截：阻止HTTPS页面加载HTTP资源
可疑URL拦截：阻止可能包含恶意代码的URL格式

在我们的案例中，斜杠结尾的URL可能被误判为第三种情况。特别是在使用模板引擎动态生成URL时，浏览器无法提前验证URL的安全性，会采取更保守的策略。

3. PHPCMS模板解析机制

3.1 siteurl()函数的工作原理

PHPCMS的siteurl()函数定义在phpcms/libs/functions/global.func.php中。它的核心逻辑是：

function siteurl($siteid = 1) { $sitelist = getcache('sitelist', 'commons'); return $sitelist[$siteid]['domain'] ? $sitelist[$siteid]['domain'] : ''; }

这个函数会返回配置中对应站点的域名。关键在于，它返回的字符串末尾不包含斜杠。当我们在模板中写{siteurl($siteid)}/时，实际上是在函数返回值后手动添加了一个斜杠。

3.2 URL生成的完整过程

PHPCMS模板引擎解析{siteurl($siteid)}/的完整流程是：

解析模板标签，调用siteurl()函数
获取函数返回值（如"http://example.com"）
拼接用户手动添加的斜杠，形成最终URL（"http://example.com/"）
输出到HTML中成为<a href="http://example.com/">

问题就出在第三步到第四步的转换过程中。浏览器在解析这个URL时，会对结尾的斜杠进行特殊处理。

4. 问题根源与解决方案

4.1 斜杠导致的URL解析差异

通过抓包分析，我发现浏览器对待以下两种URL的处理方式不同：

http://example.com（无斜杠）
- 浏览器视为标准URL
- 正常跳转无拦截
http://example.com/（有斜杠）
- 某些浏览器版本会进行额外安全检查
- 可能触发about:blank#blocked

这种差异在Chrome 85+版本中尤为明显，因为它引入了更严格的URL安全检查机制。

4.2 已验证的解决方案

根据实际测试，有以下几种解决方案：

移除斜杠（推荐）修改模板代码：

<!-- 修改前 --> <a href="{siteurl($siteid)}/">首页</a> <!-- 修改后 --> <a href="{siteurl($siteid)}">首页</a>

使用完整的首页URL如果确实需要斜杠，可以改用：
```
<a href="{APP_PATH}">首页</a>
```
添加rel属性有些情况下添加noreferrer可以避免拦截：
```
<a href="{siteurl($siteid)}/" rel="noreferrer">首页</a>
```

第一种方案最简单有效，也是我最终采用的方案。修改后，所有链接都能正常跳转，不再出现about:blank#blocked页面。