商城项目记录

最新推荐文章于 2023-05-12 01:11:32 发布
置顶 最新推荐文章于 2023-05-12 01:11:32 发布
阅读量198 收藏
点赞数
https://github.com/gztrljh
本文链接：https://blog.csdn.net/ljh101/article/details/113821567
版权
本文详细记录了一个商城项目的XSS攻击防范措施，包括转化和过滤两种思想的应用，以及它们的区别。同时，文章介绍了全局布局注意事项，基本的注册和登录功能，特别是QQ登录的SDK下载和配置流程。
摘要由CSDN通过智能技术生成

xss攻击

什么是xss攻击？

跨站脚本攻击(Cross Site Scripting)，攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。

模拟过程：

添加功能中，请求参数值包含script标签js代码

添加成功之后，数据表中：

访问新增的这条数据，js代码会被浏览器解析并执行。

Xss攻击严重影响了正常用户对网站的访问。

转化的思想防范xss攻击

转化的思想：将输入内容中的<>转化为html实体字符。

原生php中对xss攻击进行防范，使用htmlspecialchars函数，将用户输入的字符串中的特殊字符，比如<> 转化为html实体字符。

TP框架中，可以设置在获取输入变量时，使用htmlspecialchars函数对输入进行处理。

设置方法：修改application/config.php

注意：在框架配置文件中，配置的函数名称，如果写错，页面不会报错，只是所有接收的数据都是null.

'default_filter' => 'htmlspecialchars',

注意：要么就不写，要写就写正确了，不然参数都接收不到

配置文件中改

或者请求对象中
在这里插入图片描述

删除之前模拟过程中添加的数据，重新进行模拟。

以添加商品分类为例（注意控制器中的对字段长度的限制）

数据表中：
特殊字符<> 已经被转化为html实体字符。

展示刚添加的数据，js被原封不动展示，不会执行。

过滤的思想防范xss攻击

过滤的思想：将输入内容中的script标签js代码过滤掉。

特别在富文本编辑器中，输入的内容源代码中，包含html标签是正常的。不能使用htmlspecialchars进行处理。如果用户直接在源代码界面输入js代码，也会引起xss攻击。

通常使用htmlpurifier插件进行过滤。
在这里插入图片描述

在这里插入图片描述

使用步骤：

①使用composer执行命令，安装 ezyang/htmlpurifier 扩展类库

项目目录下

> composer require ezyang/htmlpurifier

或者

手动下载插件包

将htmlpurifier插件包解压，将其中的library目录移动到项目中public/plugins目录，改名为htmlpurifier

在这里插入图片描述

②在application/common.php中定义remove_xss函数

if (!function_exists('remove_xss')) {
   
    //使用htmlpurifier防范xss攻击
    function remove_xss($string){
   
        //相对index.php入口文件，引入HTMLPurifier.auto.php核心文件
        //如果是解压的则需要用require_once  composer方式不用
        //require_once './plugins/htmlpurifier/HTMLPurifier.auto.php';
        // 生成配置对象
        $cfg = HTMLPurifier_Config::createDefault();
        // 以下就是配置：
        $cfg -> set('Core.Encoding', 'UTF-8');
        // 设置允许使用的HTML标签
        $cfg -> set('HTML.Allowed','div,b,strong,i,em,a[href|title],ul,ol,li,br,p[style],span[style],img[width|height|alt|src]');
        // 设置允许出现的CSS样式属性
        $cfg -> set('CSS.AllowedProperties', 'font,font-size,font-weight,font-style,font-family,text-decoration,padding-left,color,background-color,text-align');
        // 设置a标签上是否允许使用target="_blank"
        $cfg -> set('HTML.TargetBlank', TRUE);
        // 使用配置生成过滤用的对象
        $obj = new HTMLPurifier($cfg);
        // 过滤字符串
        return $obj -> purify($string);
    }
}

说明：htmlpurifier插件，会过滤掉script标签以及标签包含的js代码。

设置全局过滤方法为封装的remove_xss函数：

修改application/config.php

'default_filter' => 'remove_xss',

重新测试，输入的内容中的script标签被过滤。
在这里插入图片描述

两个的区别

转化方式对于富文本内容无法进行过滤，
不过现在的普通的富文本插件肯定是已经做过前端的过滤了，过滤方式则是无论是富文本内容还是普通输入的可以进行阻止xss

转化的方式 原来的script标签还在，过滤的方式 会直接把script标签整个都移除了。

转化和过滤方式结合使用

普通输入内容，使用转化的思想进行处理。

设置全局过滤方法为封装的htmlspecialchars函数：

修改application/config.php

'default_filter' => 'htmlspecialchars',

富文本编辑器内容，使用过滤的思想进行处理。

比如商品描述字段，处理如下：

//商品添加或修改功能中
$params = input();
//单独处理商品描述字段 goods_introduce
$params['goods_desc'] = input('goods_desc', '', 'remove_xss');

全局布局注意

在这里插入图片描述
不要写title，不然在body里面加就无法生效了
在这里插入图片描述

基本的注册功能

场景：通常在使用手机号注册时需要发送短信验证码，在修改密码等敏感操作时也需要验证手机号发送短信验证码。

短信验证码的目的：验证用户的身份是否本人

在项目代码中发送短信，通常要调用第三方短信商的短信发送接口。

提供短信接口的平台：百度Apistore数据平台、聚合数据平台、京东万象等等

一般情况下，短信接口需要企业认证用户才能申请、一般都是收费的。

什么腾讯云、阿里云一般都要企业验证

以京东万象为例：个人可以购买使用

还需要个人认证。。mmp

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

两个函数搞定

if(!function_exists('curl_request'))
{
   
    //使用curl函数库发送请求
    function curl_request($url, $post=true, $params=[], $https=true)
    {
   
        //初始化请求
        $ch = curl_init($url);
        //默认是get请求。如果是post请求 设置请求方式和请求参数
        if($post){
   
            curl_setopt($ch, CURLOPT_POST, true);
            curl_setopt($ch, CURLOPT_POSTFIELDS, $params);
        }
        //如果是https协议，禁止从服务器验证本地证书
        if($https){
   
            curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);
        }
        //发送请求，获取返回结果
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
        $res = curl_exec($ch);
        /*if(!$res){
   
            $msg = curl_error($ch);
            dump($msg);die;
        }*/
        //关闭请求
        curl_close($ch);
        return $res;
    }
}

if(!function_exists('sendmsg')){
   
    //使用curl_request函数调用短信接口发送短信
    function sendmsg($phone, $content)
    {
   
        //从配置中取出请求地址、appkey
        $gateway = config('msg.gateway');
        $appkey = config('msg.appkey');
        //https://way.jd.com/chuangxin/dxjk?mobile=13568813957&content=【创信】你的验证码是：5873，3分钟内有效！&appkey=您申请的APPKEY
        $url = $gateway . '?appkey=' . $appkey;
        //get请求
        /*$url .= '&mobile=' . $phone . '&content=' . $content;
        $res = curl_request($url, false, [], true);*/
        //post请求
        $params = [
            'mobile' => $phone,
            'content' => $content
        ];
        $res = curl_request($url, true, $params, true);
        //处理结果
        if(!$res){
   
            return '请求发送失败';
        }
        //解析结果,json字符串转换成数组，true
        $arr
最低0.47元/天 解锁文章
「已注销」
关注
thinkphp恶意写入php代码,漏洞报告 | ThinkPHP配置不当可导致远程代码执行
weixin_30653101的博客
04-08 434
ThinkPHP配置不当可导致远程代码执行漏洞分析报告1. 漏洞描述ThinkPHP是一款国内流行的开源PHP框架，近日被爆出存在可能的远程代码执行漏洞，攻击者可向缓存文件内写入PHP代码，导致远程代码执行。虽然该漏洞利用需要有几个前提条件，但鉴于国内使用ThinkPHP框架的站点数量之多，该漏洞还是存在一定的影响范围。2. 漏洞危害攻击者可通过该漏洞获取网站的控制权限，可修改页面，导致数据泄漏等...
简单的Java商城项目记录
weixin_44838294的博客
10-24 3597
文章目录前言一、环境搭建MavenSpringBoot二、SpringBoot开发后端接口介绍热部署LombokMybatisPlus测试接口工具postman注解调用关系后端接口开发流程一些注意事项三、前端开发环境搭建Axios的增删改查小结四、 前端工程化思想/完成商城首页效果跨域请求问题Vue项目结构五、登录认证六、验证码与权限认证登录验证验证码实现思路权限认证七、设计商品分类查询接口前后端分离后，项目如何部署小结八、SpringCloud 微服务框架nacos配置SpringCloud 项目建立流程
[bhpyg] Thinkphp5 XSS攻击防御
u011436748的博客
01-14 770
1、什么是XSS攻击 跨站脚本攻击(Cross Site Scripting)，攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。 模拟过程： 添加功能中，请求参数值包含script标签js代码 添加成功之后，数据表中： [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-aaWwUc0I-1610609856714)(file:///C:\Users\asus\AppData\Local\T
Thinkphp防XSS跨站脚本攻击漏洞
美奇软件开发工作室
05-12 2226
XSS(Cross Site Scripting, 跨站脚本攻击), 在 Web攻击中比较常见的方式, 通过此攻击可以控制用户终端做一系列的恶意操作, 如 可以盗取, 篡改, 添加用户的数据或诱导到钓鱼网站等。上面那段黑客的xss脚本代码，主要是为了获取网站cookie，然后实现匿名访问。
tp5框架防止xss攻击
fzxyxf1314的博客
03-01 256
在配置文件config.php中 // 默认全局过滤方法 用逗号分隔多个 'default_filter' => 'trim,strip_tags,addslashes,htmlspecialchars',
ThinkPHP开发技巧集锦（9）：防止用户恶意提交（过滤）敏感数据
05-02 845
1、BaseValidate.php public function getDataByRule($arrays) { if (array_key_exists('user_id',$arrays) | array_key_exists('uid',$arrays)){ throw new ParameterException(['msg'=...
javaweb蛋糕商城项目
最新发布
06-17
【JavaWeb蛋糕商城项目】是一个基于Java技术的Web应用程序，旨在提供一个在线购物平台，让用户可以方便地浏览、选购各种蛋糕商品。这个项目的核心技术涵盖了Java编程语言、Servlet、JSP、JavaScript、HTML、CSS以及...
JAVA WEB网上商城项目
03-03
【JAVA WEB网上商城项目】是一个综合性的开发实践项目，它主要使用JAVA技术栈构建一个功能完善的电子商务平台。这个项目不仅适合新手学习，也适合有一定经验的开发者进行实战演练。下面将详细阐述该项目涉及的关键...
谷粒商城课件（雷丰阳雷神的商城项目）
06-29
【谷粒商城课件】是针对雷丰阳雷神开发的商城项目的教学材料，主要包含一系列关于构建电商平台的知识点和教程。虽然不包括实际的源代码，但课件提供了丰富的理论基础和实施策略，帮助学习者理解商城项目的架构设计、...
基于javaweb的购物商城系统项目
08-20
《基于JavaWeb的购物商城系统项目详解》 JavaWeb技术在构建企业级应用，尤其是电子商务领域，具有广泛的应用。本项目“112购物商城系统”是一个完整的实战案例，旨在帮助初学者理解并掌握JavaWeb开发的核心技术。...
防止xss和sql注入:JS特殊字符过滤正则
10-27
防止xss和sql注入:JS特殊字符过滤正则，需要的朋友可以参考一下
ThinkPhp中防止Xss攻击
wwwchenyc的博客
03-09 2881
收集用户提交的表单信息时候，该表单里边有可能存在相关的“代码”(html/css/js等代码)，这样代码会在信息显示的时候对页面效果造成干扰。 防范：htmlspecialchars ,作用把“”符号变为符号实体       htmlpurifier  ,清空不符合标准的标记内容，保留允许的标记内容 具体使用方法， 1、下载htmlpurifier，解压后将library文件夹放到Thin
Thinkphp 什么是XSS攻击
gzxiaomei的博客
10-07 279
     安全是每个站点的必备的，特别一些大流量的网站最容易攻击，XSS（跨站脚本攻击）可以用于窃取其他用户的Cookie信息，下面提高一些解决方案。     直接过滤所有的JavaScript脚本；     转义Html元字符，使用htmlentities、htmlspecialchars等函数；     系统的扩展函数库提供了XSS安全过滤的remove_xss方法；      新版对URL...
xss攻击 php,ThinkPHP防止XSS攻击的方法
weixin_32887779的博客
03-10 350
本篇文章介绍了设置TP防止XSS攻击的方法，希望对学习ThinkPHP的朋友有帮助！ThinkPHP防止XSS攻击的方法1 如果您的项目没有富文本编辑器 然后就可以使用全局过滤方法 在application下面的config配置文件 加上 htmlspecialchars// 默认全局过滤方法 用逗号分隔多个'default_filter' => 'htmlspecialchars',如果有...
php 在电商类型的项目中,防止机器人伪造ip以及恶意刷单
陈澍的博客
06-25 2466
最近这几天,总是被人捣乱恶意刷单,查ip发现都是无效ip,于是查找了资料后,再根据个人的想法提出可行的解决方案。首先是获取ip的方法：/** * 获取客户端IP地址 * &lt;br /&gt;来源：ThinkPHP * &lt;br /&gt;"X-FORWARDED-FOR" 是代理服务器通过 HTTP Headers 提供的客户端IP。代理服务器可以伪造任何IP。 * &lt;br ...
Thinkphp框架下有关富文本编辑器防XSS攻击的防御措施
similing的博客
05-22 2144
最近在用富文本编辑器，查了好多防XSS攻击的代码，都感觉不怎么好用。首先这些方法都是过滤非法字符或者字符串，标签字符串千变万化，难于过滤全面、其次过滤后的代码甚至会丧失正常功能。因此我考虑只取我们需要的部分。 摒弃了过滤法，我考虑使用标签分析法。 参考了百度UEditor前端的过滤方法，它将允许标签的tag和属性列了出来并作以保留（白名单）。因此我也考虑使用白名单法： allowPara...
thinkphp等框架开发中容易忽略的xss攻击及应对XSS攻击方法
小刚刚技术博客
08-17 2344
虽然说现在的web开发框架都是挺成熟的框架，在性能、安全等方面都有比较好的表现，但问题往往出现在业务逻辑上，如上周我再公司发现的一个跨站脚本攻击，（通常公司是这么过滤的，max(0,$_GET[‘a’])、strip_tags($_GET[‘a’])，然而代码量大的话，就容易出现忽略的地方） 如下面一段代码： JavaScript <script> (function(){ var a = {:$_GET['b']}; //.... })() </script> 如果把接收
记录一期Thinkphp5 WebShell木马渗透的经历, 加修复建议
DWH的博客
12-26 8346
ThinkPHP的宗旨是简化开发、提高效率、易于扩展，其在对数据库的支持方面已经包括MySQL、MSSQL、Sqlite、PgSQL、 Oracle，以及PDO的支持。ThinkPHP有着丰富的文档和示例，框架的兼容性较强，但是其功能有限，因此更适合用于中小项目的开发。 但是漏洞也层出不穷，有一天发现自己的的小程序突然打不开了， What ??? 小小的网站也被墙了？ 之前抱着一种心态 想着 这么小的网站谁想搞你 然后对网络安全方面视而不理，结果有一天 被啪啪打脸！！ 当时很惊慌，未了解网络渗透方面的知识
ThinkPHP5.0.23 远程代码执行漏洞
小小猪的博客
11-20 1460
ThinkPHP5.0.23 远程代码执行漏洞 漏洞描述： ThinkPHP 是一款运用极广的 PHP 开发框架。其 5.0.23 以前的版本中，获取 method 的方法中没有正确处理方法名，导致攻击者可以调用 Request 类任意方法并构造利用链，从而导致远程代码执行漏洞。 漏洞影响： ThinkPHP <= 5.0.24 环境复现： 靶场地址【安鸾渗透实战平台】地址 漏洞复现： 在kali中查询Thinkphp5.X相关漏洞,发现存在。 查看该漏洞文件。 发现.
JavaWeb商城项目开发实战指南
"这是一个关于javaweb实战的商城项目开发教程，涵盖了从项目功能结构到数据库设计的初步介绍。" 在javaweb商城项目开发中，我们通常会涉及到多个关键领域和组件，包括用户管理、商品分类、订单处理、地址管理等。在...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值