Laravel 5 中防止 XSS 跨站攻击的例子

原创 2016年08月30日 11:38:35

1、安装

HTMLPurifier 是基于 PHP 编写的富文本 HTML 过滤器,通常我们可以使用它来防止 XSS 跨站攻击,更多关于 HTMLPurifier的详情请参考其官网:http://htmlpurifier.org/。Purifier 是在 Laravel 5 中集成 HTMLPurifier 的扩展包,我们可以通过 Composer 来安装这个扩展包:

composer require mews/purifier

安装完成后,在配置文件config/app.php的providers中注册HTMLPurifier服务提供者:

'providers' => [
    // ...
    Mews\Purifier\PurifierServiceProvider::class,
]
然后在aliases中注册Purifier门面:

'aliases' => [
    // ...
    'Purifier' => Mews\Purifier\Facades\Purifier::class,
]

2、配置

要使用自定义的配置,发布配置文件到config目录:

php artisan vendor:publish
这样会在config目录下生成一个purifier.php文件:

return [

    'encoding' => 'UTF-8',
    'finalize' => true,
    'preload'  => false,
    'cachePath' => null,
    'settings' => [
        'default' => [
            'HTML.Doctype'             => 'XHTML 1.0 Strict',
            'HTML.Allowed'             => 'div,b,strong,i,em,a[href|title],ul,ol,li,p[style],br,span[style],img[width|height|alt|src]',
            'CSS.AllowedProperties'    => 'font,font-size,font-weight,font-style,font-family,text-decoration,padding-left,color,background-color,text-align',
            'AutoFormat.AutoParagraph' => true,
            'AutoFormat.RemoveEmpty'   => true
        ],
        'test' => [
            'Attr.EnableID' => true
        ],
        "youtube" => [
            "HTML.SafeIframe" => 'true',
            "URI.SafeIframeRegexp" => "%^(http://|https://|//)(www.youtube.com/embed/|player.vimeo.com/video/)%",
        ],
    ],

];

3、使用示例

可以使用辅助函数clean:

clean(Input::get('inputname'));

或者使用Purifier门面提供的clean方法:

Purifier::clean(Input::get('inputname'));

还可以在应用中进行动态配置:

clean('This is my H1 title', 'titles');
clean('This is my H1 title', array('Attr.EnableID' => true));

或者你也可以使用Purifier门面提供的方法:

Purifier::clean('This is my H1 title', 'titles');
Purifier::clean('This is my H1 title', array('Attr.EnableID' => true));

php防止xss攻击

 <?PHP

function clean_xss(&$string, $low = False)
{
 if (! is_array ( $string ))
 {
  $string = trim ( $string );
  $string = strip_tags ( $string );
  $string = htmlspecialchars ( $string );
  if ($low)
  {
   return True;
  }
  $string = str_replace ( array ('"', "\\", "'", "/", "..", "../", "./", "//" ), '', $string );
  $no = '/%0[0-8bcef]/';
  $string = preg_replace ( $no, '', $string );
  $no = '/%1[0-9a-f]/';
  $string = preg_replace ( $no, '', $string );
  $no = '/[\x00-\x08\x0B\x0C\x0E-\x1F\x7F]+/S';
  $string = preg_replace ( $no, '', $string );
  return True;
 }
 $keys = array_keys ( $string );
 foreach ( $keys as $key )
 {
  clean_xss ( $string [$key] );
 }
}
//just a test
$str = '111cn.net<meta http-equiv="refresh" content="0;">';
clean_xss($str); //如果你把这个注释掉,你就知道xss攻击的厉害了
echo $str;
?>


版权声明:本文为博主原创文章,未经博主允许不得转载。

javaweb——解决XSS跨站脚本攻击的方法

1.编写一个过滤器处理转义字符,防止SQL注入package com.xinrui.flower.filter;import java.io.IOException;import javax.serv...
  • lzc4869
  • lzc4869
  • 2016年03月20日 11:35
  • 2091

java防止XSS(跨站脚本攻击)攻击的常用方法总结

一、什么是XSS攻击? XSS攻击:跨站脚本攻击(Cross Site Scripting),为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆, 故将跨站...
  • sinat_21376777
  • sinat_21376777
  • 2017年07月13日 09:24
  • 1088

XSS跨站脚本攻击入门实例--DVWA

一、窃取Cookie       对于跨站的攻击方法,使用最多的莫过于cookie窃取了,获取cookie后直接借助“Live http headers、Tamper Data、Gressmonke...
  • chengfangang
  • chengfangang
  • 2015年03月03日 10:18
  • 2214

Web安全之XSS跨站脚本攻击

本文主要选择常见web攻击手段之一的XSS(跨站点脚本攻击)来进行讲解,说明其攻击原理,并提出相应的解决办法。XSSXSS 攻击,全称是“跨站点脚本攻击”(Cross Site Scripting),...
  • mevicky
  • mevicky
  • 2015年08月26日 09:06
  • 2518

php表单防止XSS跨站脚本攻击

记住一句话,千万不要相信用户输入的都是我们正常思维想到的东西,XSS是什么鬼? 首先我们对用户所有提交的数据都通过 PHP 的 htmlspecialchars() 函数处理。 当我们使用 ht...
  • chenbo163
  • chenbo163
  • 2015年05月13日 10:25
  • 855

xss跨站攻击 cookie设置

关于cookie的问题,很多时候遇到的是信息泄露,为什么会有信息泄露,首先要了解什么是xss跨站脚本攻击,xss跨站攻击简单来说就是插入恶意代码,或者劫持用户cookie,从而达到操纵系统的目的。 因...
  • wugouzi
  • wugouzi
  • 2015年11月16日 18:14
  • 1802

XSS跨站脚本攻击过程最简单演示

实例演示XSS的攻击全过程。
  • smstong
  • smstong
  • 2015年02月06日 13:20
  • 56477

Java xss攻击(跨站脚本攻击)

发现问题 最近我们的服务器频繁的遭到黑客攻击,真是让人头疼啊,痛定思痛,仔细想想为什么我们会被攻击呢,肯定是我们的代码有漏洞啊,那么我们如何检测我们站点的漏洞呢,首先比较大众的就是通过360网站安全...
  • jwdstef
  • jwdstef
  • 2014年12月22日 18:21
  • 12456

React 防止 XSS漏洞 详解

XSS 跨站脚本攻击(Cross Site Scripting) 是Web程序中常见的漏洞,XSS属于被动式且用于客户端的攻击方式,所以容易被忽略其危害性 注 : 为了不和层叠样式表(Cascadin...
  • chenshun123
  • chenshun123
  • 2018年01月08日 08:43
  • 76

Laravel 5 中防止 XSS 跨站攻击的例子

1、安装 HTMLPurifier 是基于 PHP 编写的富文本 HTML 过滤器,通常我们可以使用它来防止 XSS 跨站攻击,更多关于 HTMLPurifier的详情请参考其官网:http://h...
  • yang_yun_hao
  • yang_yun_hao
  • 2016年08月17日 14:40
  • 250
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:Laravel 5 中防止 XSS 跨站攻击的例子
举报原因:
原因补充:

(最多只允许输入30个字)