应用代码看到一个HTTPS地址，就能认为它属于批准的网站吗？域名解析、重定向和代理链都可能改变最终目的地。10月23日OpenAI的隔离说明再次把出站路径放到了显眼的位置。
应用校验只是第一道门
URL中有scheme、hostname、port、userinfo和路径。用startswith比较字符串会把域名外观与真实主机混在一起。应先解析，再与明确的目标集合比较，拒绝额外凭据和不需要的端口。
即便URL结构合法，也还没有检查DNS最终解析地址。重定向后的新地址必须重新经过同一策略；连接应由受控代理执行，并把应用判断与实际连接目的地关联。否则允许列表只能约束模型写下的字符串，约束不了网络。
固定内网域名同样需要访问路径和方法限制。允许读取知识库，不等于允许调用它的管理端点。这个差异应由服务身份和后端接口落实。
图里的私网分支由网络侧策略拦住，不能靠一段URL解析代码代替。
离线校验URL结构
以下是可离线运行的最小示例，使用Python标准库。输入均为教学构造，不连接业务系统。
from urllib.parse import urlsplit def allowed(raw): try: u = urlsplit(raw) port = u.port except ValueError: return False return ( u.scheme == "https" and u.hostname == "docs.example.invalid" and u.username is None and u.password is None and port in (None, 443) and not u.fragment ) assert allowed("https://docs.example.invalid/guide") assert not allowed("https://docs.example.invalid.evil.invalid/") assert not allowed("https://docs.example.invalid@evil.invalid/") assert not allowed("https://docs.example.invalid:8443/") assert not allowed("http://docs.example.invalid/") print("5 URL structure cases passed; no DNS or requests").invalid域名专用于本例；脚本不做DNS查询。真实实现还需地址范围校验、DNS重绑定防护、重定向处理和代理拒绝记录。不要把这五个断言算成SSRF防护验证。
测试必须经过真实出口
在授权的测试网络里，分别检查直接IP、解析变化、跳转和代理错误，记录最终IP、TLS主机名和规则版本。内部安全服务故障时应拒绝请求，而不是悄悄回退到宿主默认网络。
本文没有启动Cilium、Kubernetes或真实代理，也没有性能数据。域名允许列表是声明的一部分，网络可达性仍需独立验证。
参考资料
- OpenAI containment
- MCP security practices
