redirect('https://evil.com/x') mà trình duyệt lại đi tới /x cùng site: local=True âm thầm chặn open-redirect
Chuyển hướng, trả 404, đọc request thô — tất cả đi qua Werkzeug bên dưới controller Odoo. Cách dùng request.redirect (và bẫy local=True), raise NotFound, đọc request.httprequest — kiểm chứng bằng curl thật trên Odoo 19.