LocalRedirectTarget

Valida un destino de redirect declarado por el usuario (el `next` del gate). Acepta ÚNICAMENTE una ruta local absoluta; cualquier intento de open-redirect (protocol-relative, URL absoluta, backslash, o codificado) cae al destino seguro por defecto. Fail-closed.

public static function resolve(?string $candidate, string $default): string

Un destino de redirección LOCAL y seguro, o el default. Fail-closed ante open-redirect.

Parameters