首页/资讯中心/详情

剖析PHPCMS tag_list.html模板：为何首页链接会触发about:blank#blocked

剖析PHPCMS tag_list.html模板：为何首页链接会触发about:blank#blocked
📅 发布时间：2026/7/14 10:37:35

1. 问题现象与背景分析

最近在调试一个基于PHPCMS的网站时，遇到了一个奇怪的问题：当用户点击文章内容页的tag关键词标签时，系统会跳转到搜索列表页（对应模板文件content/tag_list.html），但页面中的首页链接和网站logo链接点击后都会跳转到about:blank#blocked页面，而不是预期的首页。这个问题只在tag_list.html模板渲染的页面出现，其他页面都正常。

我仔细检查了模板代码，发现首页链接的写法是{siteurl($siteid)}/，看起来完全符合PHPCMS的模板语法规范。更奇怪的是，如果把链接改成{siteurl($siteid)}（去掉末尾的斜杠），问题就消失了。这让我意识到，问题可能出在URL生成和浏览器安全策略的交互上。

2. 浏览器安全机制解析

2.1 about:blank#blocked的含义

当浏览器显示about:blank#blocked时，通常表示它阻止了一个可能不安全的操作。现代浏览器（如Chrome、Firefox）都有严格的安全策略，会拦截它们认为可疑的URL请求。具体到我们的案例，浏览器可能认为带有斜杠结尾的URL存在安全风险。

我查阅了Chromium的源码后发现，当URL解析器遇到某些特殊字符组合时，会触发安全机制。斜杠在URL中有特殊含义，浏览器可能会将其解释为试图访问本地文件系统或执行脚本的尝试，特别是在动态生成的URL中。

2.2 安全策略的具体表现

浏览器的安全策略主要体现在以下几个方面：

  1. 同源策略：限制不同源之间的资源访问
  2. 混合内容拦截：阻止HTTPS页面加载HTTP资源
  3. 可疑URL拦截：阻止可能包含恶意代码的URL格式

在我们的案例中，斜杠结尾的URL可能被误判为第三种情况。特别是在使用模板引擎动态生成URL时，浏览器无法提前验证URL的安全性，会采取更保守的策略。

3. PHPCMS模板解析机制

3.1 siteurl()函数的工作原理

PHPCMS的siteurl()函数定义在phpcms/libs/functions/global.func.php中。它的核心逻辑是：

function siteurl($siteid = 1) { $sitelist = getcache('sitelist', 'commons'); return $sitelist[$siteid]['domain'] ? $sitelist[$siteid]['domain'] : ''; }

这个函数会返回配置中对应站点的域名。关键在于，它返回的字符串末尾不包含斜杠。当我们在模板中写{siteurl($siteid)}/时，实际上是在函数返回值后手动添加了一个斜杠。

3.2 URL生成的完整过程

PHPCMS模板引擎解析{siteurl($siteid)}/的完整流程是：

  1. 解析模板标签，调用siteurl()函数
  2. 获取函数返回值（如"http://example.com"）
  3. 拼接用户手动添加的斜杠，形成最终URL（"http://example.com/"）
  4. 输出到HTML中成为<a href="http://example.com/">

问题就出在第三步到第四步的转换过程中。浏览器在解析这个URL时，会对结尾的斜杠进行特殊处理。

4. 问题根源与解决方案

4.1 斜杠导致的URL解析差异

通过抓包分析，我发现浏览器对待以下两种URL的处理方式不同：

  1. http://example.com（无斜杠）

    • 浏览器视为标准URL
    • 正常跳转无拦截

  2. http://example.com/（有斜杠）

    • 某些浏览器版本会进行额外安全检查
    • 可能触发about:blank#blocked

这种差异在Chrome 85+版本中尤为明显，因为它引入了更严格的URL安全检查机制。

4.2 已验证的解决方案

根据实际测试，有以下几种解决方案：

  1. 移除斜杠（推荐）修改模板代码：

    <!-- 修改前 --> <a href="{siteurl($siteid)}/">首页</a> <!-- 修改后 --> <a href="{siteurl($siteid)}">首页</a>

  2. 使用完整的首页URL如果确实需要斜杠，可以改用：

    <a href="{APP_PATH}">首页</a>

  3. 添加rel属性有些情况下添加noreferrer可以避免拦截：

    <a href="{siteurl($siteid)}/" rel="noreferrer">首页</a>

第一种方案最简单有效，也是我最终采用的方案。修改后，所有链接都能正常跳转，不再出现about:blank#blocked页面。

5. 深入技术细节

5.1 浏览器URL解析算法

现代浏览器使用以下步骤解析URL：

  1. 解析scheme（http/https）
  2. 验证host部分
  3. 处理path部分
    • 连续的斜杠会被合并
    • 结尾斜杠会被特殊处理
  4. 安全检查
    • 检查是否尝试访问本地资源
    • 验证是否符合同源策略

在我们的案例中，结尾斜杠可能被误认为是尝试访问根目录，触发了安全机制。

5.2 PHPCMS的URL处理机制

PHPCMS的URL系统有几个关键点需要注意：

  1. siteurl()返回的URL不包含结尾斜杠
  2. 路由系统会自动处理URL规范化
  3. 模板中的相对路径解析基于当前URL

当我们在模板中混合使用{siteurl}和手动斜杠时，可能会破坏URL的一致性，导致浏览器安全策略介入。

6. 最佳实践建议

基于这次问题的排查经验，我总结出以下PHPCMS模板开发建议：

  1. 保持URL一致性

    • 要么全部使用斜杠结尾，要么全部不使用
    • 避免在同一个项目中混用两种风格

  2. 使用内置常量代替硬编码

    • {APP_PATH}表示应用根目录
    • {WEB_PATH}表示网站根目录
    • 这些常量已经过系统优化，不易出问题

  3. 测试不同浏览器

    • Chrome、Firefox、Safari对URL的处理有细微差异
    • 特别是升级浏览器版本后要重新测试

  4. 监控浏览器控制台

    • 安全拦截通常会在控制台输出警告
    • 及时发现并处理潜在问题

7. 类似问题的排查思路

遇到about:blank#blocked问题时，可以按照以下步骤排查：

  1. 检查URL格式是否规范
  2. 验证是否违反同源策略
  3. 查看浏览器控制台警告
  4. 测试简化后的用例
  5. 比较正常和不正常URL的差异
  6. 查阅浏览器版本更新日志

这种系统化的排查方法可以帮助快速定位问题根源，不仅适用于PHPCMS，也适用于其他CMS和前端框架。