很多 open redirect 漏洞第一次看都不太“吓人”。它既不是 RCE,也不会像 SQL 注入那样一眼就让人绷紧神经