我去年帮朋友排查一个网站漏洞，隐藏发现跳转代码藏得比想象中深。网址表面看是跳转个正常链接，鼠标悬停显示的代码地址是`https://example.com/product/123`，可点下去，隐藏浏览器地址栏瞬间变成`https://evil-site.net`。网址整个过程不到0.3秒，跳转肉眼根本捕捉不到中间态。代码

这种隐藏跳转的隐藏写法其实不复杂。最基础的网址一种，是跳转在HTML里用``标签做延迟刷新，比如``，代码零秒延迟，隐藏页面加载即跳走。网址但这种方式太明显了，跳转查看源代码一眼就能识破。真正让我觉得棘手的是JavaScript配合事件监听的组合拳——先给链接绑定`click`事件，用`e.preventDefault()`拦下默认行为，再通过`window.location.replace()`完成跳转。这个过程里，链接的`href`属性始终是正常的，只有执行到JS那一步才会露出马脚。

更隐蔽的还有CSS类名切换。有些开发者会在页面里预先埋好两个链接，一个真一个假，用`display:none`把假的藏起来，等用户hover时通过`:hover`伪类切换显示。鼠标移上去时，浏览器状态栏显示的是假地址，实际点击后触发的是真跳转。这种手法常见于广告弹窗和下载站，专门坑那些习惯看状态栏确认安全的老用户。

我见过最夸张的一次，是某电商平台的分销链接。他们用了一段混淆过的JavaScript，动态生成跳转地址，每次点击都会从服务端拉取新的目标URL。前端代码里根本找不到任何硬编码的跳转目标，所有逻辑都藏在WebSocket通信里。这种设计初衷可能是防爬虫，但副作用是——如果服务端被攻破，所有跳转都会指向钓鱼站，而用户和前端开发者都毫无察觉。

写这种代码的人通常有明确目的。要么是流量劫持，把用户从A站导到B站赚广告费；要么是钓鱼，仿冒登录页面骗取密码；还有一种相对无辜的——短链接服务。但短链接至少会明确告诉你"即将跳转"，而隐藏跳转是剥夺了用户的知情权。我自己的原则是：凡是需要隐藏跳转的场景，多半有猫腻。

说实话，技术本身没有善恶，`window.location`这个API最初设计出来就是给单页应用做路由用的。但当你发现一个正常业务页面里藏着三段以上的`addEventListener`，而且每段都修改了`location.href`，那基本可以断定有问题。我检查代码时有个土办法：把所有JS事件监听器列出来，逐个看回调函数里有没有`location`或`href`关键字。如果有，再往前追一步，看这个跳转是否被用户主动触发——比如点击按钮跳转是合理的，但页面加载后自动跳转就需要警惕了。

最后说个实操建议。如果你在审查代码时发现隐藏跳转，别急着删。先用浏览器开发者工具的网络面板，把跳转前后的请求都截下来，确认目标域名是否在白名单内。有时候这不过是开发人员偷懒，用跳转做A/B测试，但更多时候，它意味着你的站点已经被注入了恶意脚本。删掉代码只是治标，找到注入的入口——比如过期的第三方插件或弱口令的FTP账号——才是治本。