13.pyg06-商品管理修改及XSS过滤

商品相关数据表

3、商品详情

定义路由

创建控制器方法

查询数据

返回数据

实现：

注：关联查询 with方法

多个嵌套关联，只有最后一个生效。比如with('type, type.attrs, type.specs') 生效的是type.specs。其中的type.attrs无效

定义关联关系

查询数据

4、商品删除

删除数据

返回数据

实现：

5、商品修改页面接口

修改页面所需原始数据太多，故专门提供此业务接口。

定义路由

创建控制器方法

查询商品信息:

商品基本信息

商品所属分类（id cate_name pid_path brands） 查询所属分类下所有的品牌信息

商品相册图片集合（id goods_id pics_big pics_sma）

规格商品集合-SKU

所属模型信息（id type_name attrs specs specs.spec_values）

所属品牌信息

查询分类信息：（id cate_name）

所有一级分类

商品所属一级分类下的所有二级分类

商品所属二级分类下的所有三级分类

查询所有商品模型信息：（id type_name）

返回数据

实现：

查询商品信息

查询分类信息

查询类型信息

6、商品修改

定义路由

创建控制器方法

接收数据

参数检测

修改数据：

商品logo及缩略图

处理商品属性值字段

商品相册图片及缩略图

删除原规格商品SKU

添加新规格商品SKU

返回数据

实现：

接收数据、参数检测

开启事务

修改商品表

相册表添加数据

删除原来的规格商品SKU

添加新的规格商品SKU

7、商品相册删除

定义路由

创建控制器方法

删除数据

返回数据

实现：

定义路由

创建控制器方法,删除数据

十八、XSS攻击

1、什么是XSS攻击

跨站脚本攻击(Cross Site Scripting)，攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。

模拟过程：

添加功能中，请求参数值包含script标签js代码

添加成功之后，数据表中：

访问新增的这条数据，js代码会被浏览器解析并执行。

Xss攻击严重影响了正常用户对网站的访问。

2、转化的思想防范xss攻击

转化的思想：将输入内容中的<>转化为html实体字符。

原生php中对xss攻击进行防范，使用htmlspecialchars函数，将用户输入的字符串中的特殊字符，比如<> 转化为html实体字符。

TP框架中，可以设置在获取输入变量时，使用htmlspecialchars函数对输入进行处理。

设置方法：修改application/config.php

注意：在框架配置文件中，配置的函数名称，如果写错，页面不会报错，只是所有接收的数据都是null.

'default_filter' => 'htmlspecialchars',

删除之前模拟过程中添加的数据，重新进行模拟。

以添加商品分类为例（注意控制器中的对字段长度的限制）

数据表中：

特殊字符<> 已经被转化为html实体字符。

展示刚添加的数据，js被原封不动展示，不会执行。

3、过滤的思想防范xss攻击

过滤的思想：将输入内容中的script标签js代码过滤掉。

特别在富文本编辑器中，输入的内容源代码中，包含html标签是正常的。不能使用htmlspecialchars进行处理。如果用户直接在源代码界面输入js代码，也会引起xss攻击。

通常使用htmlpurifier插件进行过滤。

使用步骤：

①使用composer执行命令，安装 ezyang/htmlpurifier 扩展类库

项目目录下> composer require ezyang/htmlpurifier

或者

将htmlpurifier插件包解压，将其中的library目录移动到项目中public/plugins目录，改名为htmlpurifier

②在application/common.php中定义remove_xss函数（当天文件function.php中有）

if (!function_exists('remove_xss')) {
    //使用htmlpurifier防范xss攻击
    function remove_xss($string){
        //相对index.php入口文件，引入HTMLPurifier.auto.php核心文件
        //require_once './plugins/htmlpurifier/HTMLPurifier.auto.php';
        // 生成配置对象
        $cfg = HTMLPurifier_Config::createDefault();
        // 以下就是配置：
        $cfg -> set('Core.Encoding', 'UTF-8');
        // 设置允许使用的HTML标签
        $cfg -> set('HTML.Allowed','div,b,strong,i,em,a[href|title],ul,ol,li,br,p[style],span[style],img[width|height|alt|src]');
        // 设置允许出现的CSS样式属性
        $cfg -> set('CSS.AllowedProperties', 'font,font-size,font-weight,font-style,font-family,text-decoration,padding-left,color,background-color,text-align');
        // 设置a标签上是否允许使用target="_blank"
        $cfg -> set('HTML.TargetBlank', TRUE);
        // 使用配置生成过滤用的对象
        $obj = new HTMLPurifier($cfg);
        // 过滤字符串
        return $obj -> purify($string);
    }
} 

说明：htmlpurifier插件，会过滤掉script标签以及标签包含的js代码。

设置全局过滤方法为封装的remove_xss函数：

修改application/config.php

'default_filter' => 'remove_xss',

重新测试，输入的内容中的script标签被过滤。

4、转化与过滤结合防范xss攻击

普通输入内容，使用转化的思想进行处理。

设置全局过滤方法为封装的htmlspecialchars函数：

修改application/config.php

'default_filter' => 'htmlspecialchars',

富文本编辑器内容，使用过滤的思想进行处理。

比如商品描述字段，处理如下：

//商品添加或修改功能中
$params = input();
//单独处理商品描述字段 goods_introduce
$params['goods_desc'] = input('goods_desc', '', 'remove_xss');

十九、添加完整商品数据

使用后台管理系统，添加完整商品数据。用于测试及前台页面展示。

添加三级商品分类（一般有现成的测试数据）

添加品牌（在一个三级分类下添加至少一个品牌）

添加商品类型（商品模型）（至少两个规格，每个规格至少两个规格值。至少两个属性）

添加商品（选择分类、选择品牌、上传logo图片、上传相册图片、选择商品类型、每种规格至少选择两个规格值）