关于Discuz!中“您当前的访问请求当中含有非法字符,已经被系统拒绝”的问题,在添加或更新文章的时候经常出现,经测试发现出现这种情况更多的在使用工具(如火车头采集器)批量发布文章时出现,仔细分析发现,当发布的正文内容出现特殊符号(&,/,<,>等)时出现这样的错误提示。 出现这样的错误主要是因为Discuz!系统的_xss_check()函数原本的意义是为了论坛安全,防止XSS攻击,一般网站使用是不会出现什么问题的,但是有些网站要接入第三方接口,当第三方接口向本站post数据的时候就会报”您当前的访问请求当中含有非法字符,已经被系统拒绝”,本文介绍一种简单的修改方法避免此错误。
3 J8 p9 v# L2 Y3 P9 P* l$ L解决方案如下: \source\class\discuz的discuz_application.php 查找如下代码(在360行左右),并替换 3 J) t' L) O! w$ l3 v
1 t2 K+ i/ a0 C w
# ^2 j" n1 u& p5 o! o, rPHP6 i/ s) Y# W! L9 |* c5 F- t3 k
- private function _xss_check() {7 n+ `- E' e6 h6 W G
- static $check = array('"', '>', '<', '\'', '(', ')', 'CONTENT-TRANSFER-ENCODING');
* a( H8 o4 i' | E" q - if(isset($_GET['formhash']) && $_GET['formhash'] !== formhash()) {
- r# a" [1 J0 S5 Y( ^2 r - system_error('request_tainting');8 l) ?6 w! {7 i' }. m# C( |
- }
/ _. J' H! y4 M* W! n - if($_SERVER['REQUEST_METHOD'] == 'GET' ) {
8 E) g9 S" D. E) v! }* Y; O - $temp = $_SERVER['REQUEST_URI'];
X) V3 J1 k6 [8 X+ [9 o' v; u! u - } elseif(empty ($_GET['formhash'])) {
/ w* c6 l6 w' ?1 n; P5 P2 {, q& k - $temp = $_SERVER['REQUEST_URI'].file_get_contents('php://input');
2 p; \% b k4 Z- | - } else {' F. i" ?, X0 u; J* d1 g& w
- $temp = '';
2 }( F9 E& }" F9 B! P; Y - }
6 J( Q1 L. Y7 D - if(!empty($temp)) {3 X4 R& T" H$ H g3 b. K
- $temp = strtoupper(urldecode(urldecode($temp)));( S. Z3 r. a7 q' c5 v: U3 t
- foreach ($check as $str) {* A. ]& u8 @/ {& j6 y
- if(strpos($temp, $str) !== false) {( Z. v% g& f0 {
- system_error('request_tainting');' p n9 P4 r% i* T% l. s! J$ K
- }* a3 Q: q, L/ f
- }; j5 p6 i: y+ t: m0 U, ~
- }' ]4 c- l7 A6 _( L5 N" T* j
- return true;
$ F0 c3 A0 \3 h- k1 i1 T - }
复制代码 替换为
/ c4 `6 @+ \ f3 K- A! k2 E. {% u) m- private function _xss_check() {
5 w5 ~8 B' A3 D( B/ L - $temp = strtoupper(urldecode(urldecode($_SERVER['REQUEST_URI'])));/ [( _: `& o) x o% u4 a# [
- if(strpos($temp, '<') !== false || strpos($temp, '"') !== false || strpos($temp, 'CONTENT-TRANSFER-ENCODING') !== false) {$ U9 j6 I7 @% ~- y7 {
- system_error('request_tainting');% O0 }1 V5 i- x9 _% F
- }3 [# |# U9 y) [. {+ }( L% p4 z
- return true;
( P }' N6 d6 E - }
复制代码 ; J6 n% j# C8 A( p0 \8 u7 B
0 Z; q- a/ R: n
2 { \9 [2 n7 {) m( g
5 ]2 y& q7 V% O" d/ o& F' }2 |: i" Z. j- m! A, p
|