上周三晚上，防止我在查一个技术文档。网页页面加载到一半，自动突然自己跳走了。跳转浏览器地址栏换成了一个购物网站，防止满屏“限时秒杀”。网页我愣了两秒，自动才反应过来是跳转被重定向了。这种事不新鲜，防止但每次遇到都让人烦躁——你明明点的网页是A，它偏要把你送到B。自动

网页自动跳转分几种。跳转最常见的防止是HTTP重定向，服务器返回301或302状态码，网页浏览器乖乖听话去新地址。自动这种还算“礼貌”，至少你还能从地址栏看到变化。另一种是JavaScript跳转，页面里塞一段window.location.href = "..."，加载完立刻执行。最烦人的是meta refresh，写在HTML的<meta http-equiv="refresh" content="0;url=...">里，连JS都不用，浏览器直接照做。

想拦住它们，得从不同层面下手。

先说你自己的浏览器。Chrome和Firefox都有扩展能管这事。我用的一个叫“Redirector”的插件，可以设定规则：比如某个域名下的请求全部阻断，或者把特定URL替换成别的。它支持正则表达式，写一条规则就能覆盖一批跳转。Firefox用户还可以在about:config里把accessibility.blockautorefresh设为true，直接禁掉meta refresh。这个开关藏得深，但管用。

如果你在写网页，控制权就更大了。服务端返回重定向之前，先判断来源和目的。别无条件信任Referer头，它可能被伪造。对于用户提交的跳转目标，做白名单校验——只允许跳到自己站内的已知路径，或者明确列出的外部域名。这能挡住大部分开放重定向漏洞。有人喜欢用?next=参数做登录后跳转，如果没校验，攻击者能把你送到钓鱼页面。

前端层面，别用window.location直接赋用户可控的值。需要跳转时，用location.assign()并配合校验函数。如果只是站内导航，优先用history.pushState()，它不触发页面加载，自然也没有跳转。对于iframe，加上sandbox属性，去掉allow-top-navigation，里面的页面就没办法把外层窗口拐跑。

还有一种情况：你打开一个页面，它弹窗问“是否离开此页？”这其实是beforeunload事件在起作用。有些网站用它来防止你误关，但更多时候是广告在耍赖。你可以在控制台里执行window.onbeforeunload = null，把监听器清掉。刷新一下，再关页面就不会被拦了。

移动端更乱。很多App内置浏览器，跳转逻辑由App自己控制。你点一个链接，它先用自己的规则判断，再决定是内部打开还是唤起原生应用。这种跳转用户几乎无法干预，只能换用系统浏览器，或者直接复制链接手动粘贴。

说回我那次经历。后来我查了那个文档站的源码，发现它在<head>里塞了三段跳转脚本，还用了setTimeout延迟执行，明显是故意的。我在uBlock Origin里加了一条自定义规则，把那个脚本域名整个屏蔽。再打开，页面老老实实停在原地。

跳转本身不是坏事。登录后跳回原页面，短链接展开，这些都需要它。问题在于谁掌握控制权。当跳转由服务器单方面决定，用户没有拒绝的选项，它就变成了劫持。防跳转的本质，是把控制权拿回自己手里——要么在浏览器层面拦截，要么在代码层面校验。别让一个meta标签替你决定去哪。