应用代码看到一个HTTPS地址就能认为它属于批准的网站吗域名解析、重定向和代理链都可能改变最终目的地。10月23日OpenAI的隔离说明再次把出站路径放到了显眼的位置。应用校验只是第一道门URL中有scheme、hostname、port、userinfo和路径。用startswith比较字符串会把域名外观与真实主机混在一起。应先解析再与明确的目标集合比较拒绝额外凭据和不需要的端口。即便URL结构合法也还没有检查DNS最终解析地址。重定向后的新地址必须重新经过同一策略连接应由受控代理执行并把应用判断与实际连接目的地关联。否则允许列表只能约束模型写下的字符串约束不了网络。固定内网域名同样需要访问路径和方法限制。允许读取知识库不等于允许调用它的管理端点。这个差异应由服务身份和后端接口落实。图里的私网分支由网络侧策略拦住不能靠一段URL解析代码代替。离线校验URL结构以下是可离线运行的最小示例使用Python标准库。输入均为教学构造不连接业务系统。from urllib.parse import urlsplit def allowed(raw): try: u urlsplit(raw) port u.port except ValueError: return False return ( u.scheme https and u.hostname docs.example.invalid and u.username is None and u.password is None and port in (None, 443) and not u.fragment ) assert allowed(https://docs.example.invalid/guide) assert not allowed(https://docs.example.invalid.evil.invalid/) assert not allowed(https://docs.example.invalidevil.invalid/) assert not allowed(https://docs.example.invalid:8443/) assert not allowed(http://docs.example.invalid/) print(5 URL structure cases passed; no DNS or requests).invalid域名专用于本例脚本不做DNS查询。真实实现还需地址范围校验、DNS重绑定防护、重定向处理和代理拒绝记录。不要把这五个断言算成SSRF防护验证。测试必须经过真实出口在授权的测试网络里分别检查直接IP、解析变化、跳转和代理错误记录最终IP、TLS主机名和规则版本。内部安全服务故障时应拒绝请求而不是悄悄回退到宿主默认网络。本文没有启动Cilium、Kubernetes或真实代理也没有性能数据。域名允许列表是声明的一部分网络可达性仍需独立验证。参考资料OpenAI containmentMCP security practices
