Discuz!体系的_xss_check()函数本来的含义是为了论坛安全，防止XSS进犯，一般网站使用是不会呈现什么问题的，可是有些网站要接入第三方接口，当第三方接口向本站post数据的时分就会报"您当时的拜访恳求傍边含有不合法字符，现已被体系回绝"，本文介绍一种简略的修正办法防止此过错。

解决方案如下：

\source\class\discuz的discuz_application.php
查找
private function _xss_check() {
        static $check = array('"', '>', '<', '\'', '(', ')', 'CONTENT-TRANSFER-ENCODING');
        if(isset($_GET['formhash']) && $_GET['formhash'] !== formhash()) {
                        system_error('request_tainting');
        }
        if($_SERVER['REQUEST_METHOD'] == 'GET' ) {
                        $temp = $_SERVER['REQUEST_URI'];
        } elseif(empty ($_GET['formhash'])) {
                        $temp = $_SERVER['REQUEST_URI'].file_get_contents('php://input');
        } else {
                        $temp = '';
        }
        if(!empty($temp)) {
                $temp = strtoupper(urldecode(urldecode($temp)));
                foreach ($check as $str) {
                                if(strpos($temp, $str) !== false) {
                                                system_error('request_tainting');
                                }
                }
        }
        return true;
}
仿制代码


替换为：
private function _xss_check() {
        $temp = strtoupper(urldecode(urldecode($_SERVER['REQUEST_URI'])));
        if(strpos($temp, '<') !== false || strpos($temp, '"') !== false || strpos($temp, 'CONTENT-TRANSFER-ENCODING') !== false) {
                        system_error('request_tainting');
        }
        return true;
}
仿制代码

标签：

声明：有的资源均来自网络转载，版权归原作者所有，如有侵犯到您的权益 请联系邮箱：123456@qq.com 我们将配合处理！

原文地址：Discuz!您当前的访问请求当中含有非法字符，已经被系统拒绝解决发布于2023-02-24 23:54:45

相关推荐