XSS攻击

1.什么是xss攻击

跨站脚本攻击(Cross Site Scripting)，攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。

2.转化的思想防范xss攻击

转化的思想：将输入内容中的<>转化为html实体字符

列如：

$a = "<script>alert(111)</script>Hello World";
echo $a;

# 使用函数转化后
echo htmlspecialchars ($a);

 在tp6TP框架中，可以设置在获取输入变量时，使用htmlspecialchars函数对输入进行处理。
在app\Request对象中设置filter全局过滤属性

3.过滤的思想防范xss攻击

过滤的思想：将输入内容中的script标签js代码过滤掉。

通常使用htmlpurifier插件进行过滤。

所以这个是官网：http://htmlpurifier.org/  进去点击Download 往下滑

composer require ezyang/htmlpurifier

4.g

1、创建HTMLPurifier对象并实现对富文本的过滤

官方文档已经给出了基本的创建方法，即使说先需要一个配置类Config，然后使用配置类对象来生成Purifier对象。然后调用purifier方法对需要过滤的文本进行过滤。代码如下：

$config = HTMLPurifier_Config::createDefault();
$purifier = new HTMLPurifier($config);
$clean_html = $purifier->purify($dirty_html);

2、如何对HTMLPurifer的过滤器进行配置

要使用HTMLPurifier，重点还是在如何进行配置。对于上面的程序，我们通过createDefault()方法创建了一个默认的配置对象。我们如果要修改配置的话，可以通过set方法来进行配置设置，方法如下：

$config->set('config_object', value, a=null);

第一个参数就是需要配置的属性，第二个参数就是属性的值

5.tp6封装使用步骤

① 使用composer执行命令，安装 ezyang/htmlpurifier 扩展类库
项目目录下

composer require ezyang/htmlpurifier

② 在app/common.php中定义remove_xss函数

//过滤掉标签
if (!function_exists('remove_xss')) {
    //使用htmlpurifier防范xss攻击
    function remove_xss($string){
        //相对index.php入口文件，引入HTMLPurifier.auto.php核心文件
        //require_once './plugins/htmlpurifier/HTMLPurifier.auto.php';
        // 生成配置对象
        $cfg = HTMLPurifier_Config::createDefault();
        // 以下就是配置：
        $cfg -> set('Core.Encoding', 'UTF-8');
        // 设置允许使用的HTML标签
        $cfg -> set('HTML.Allowed','div,b,strong,i,em,a[href|title],ul,ol,li,br,p[style],span[style],img[width|height|alt|src]');
        // 设置允许出现的CSS样式属性
        $cfg -> set('CSS.AllowedProperties', 'font,font-size,font-weight,font-style,font-family,text-decoration,padding-left,color,background-color,text-align');
        // 设置a标签上是否允许使用target="_blank"
        $cfg -> set('HTML.TargetBlank', TRUE);
        // 使用配置生成过滤用的对象
        $obj = new HTMLPurifier($cfg);
        // 过滤字符串
        return $obj -> purify($string);
    }
}

6.设置全局的 htmlpurifier过滤

框架默认没有设置任何全局过滤规则，你可以在app\Request对象中设置filter全局过滤属性：

namespace app;

class Request extends \think\Request
{
    protected $filter = ['htmlspecialchars'];
}

也支持使用Request对象进行全局变量的获取过滤，过滤方式包括函数、方法过滤，以及PHP内置的Types of filters，我们可以设置全局变量过滤方法，支持设置多个过滤方法，例如：

Request::filter(['strip_tags','htmlspecialchars'])

也可以在获取变量的时候添加过滤方法，例如：

Request::get('name','','htmlspecialchars'); // 获取get变量 并用htmlspecialchars函数过滤
Request::param('username','','strip_tags'); // 获取param变量 并用strip_tags函数过滤
Request::post('name','','org\Filter::safeHtml'); // 获取post变量 并用org\Filter类的safeHtml方法过滤