攻击者可以通过抓包修改origin头构造外部跳转

您是正确的，攻击者可以通过抓包并修改请求头中的 Origin 字段来构造外部跳转。Origin 字段是由浏览器发送的请求头字段之一，用于指示请求的来源。

在防止外部跳转攻击方面，前端可以采取以下措施：

1. 在后端服务器进行校验：建议在后端服务器中对请求进行校验，验证 Origin 字段的值是否符合预期的合法来源。

2. 使用 CSRF 令牌：如前面所提到的，在表单提交时生成一个随机的 CSRF 令牌，并将其加入请求的参数或请求头中。后端服务器在接收到请求时，验证令牌的有效性。

3. 验证身份和权限：除了验证 Origin 字段外，还应该验证用户的身份和权限，确保只有经过身份验证且具有足够权限的用户可以执行敏感操作。

4. 使用安全的跳转方式：避免使用可被篡改的跳转方式，如直接使用从请求参数或请求头中获取的 URL 进行跳转。可以使用后端生成跳转链接，并通过重定向或其他安全的方式将用户跳转到目标页面。

总之，前端应该始终将安全性措施放在后端进行校验和验证，前端仅能提供一定程度的辅助保护，并且要注意及时更新和修复可能存在的安全漏洞。同时，全面考虑系统的安全性，采取多层次的防护措施，能够提高应用程序的安全性。