Thinkphp框架下有关富文本编辑器防XSS攻击的防御措施

最新推荐文章于 2023-05-12 17:12:17 发布
最新推荐文章于 2023-05-12 17:12:17 发布
阅读量2.1k 收藏 4
点赞数
分类专栏： 框架 文章标签： ThinkPHP XSS 富文本编辑器 网络安全 过滤标签
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/similing/article/details/80400187
版权

最近在用富文本编辑器，查了好多防XSS攻击的代码，都感觉不怎么好用。首先这些方法都是过滤非法字符或者字符串，标签字符串千变万化，难于过滤全面、其次过滤后的代码甚至会丧失正常功能。因此我考虑只取我们需要的部分。
摒弃了过滤法，我考虑使用标签分析法。
参考了百度UEditor前端的过滤方法，它将允许标签的tag和属性列了出来并作以保留（白名单）。因此我也考虑使用白名单法：

allowParams=array(//白名单
	'a'=>array('target','href','title','class','style'),
	'abbr'=>array('title','class','style'),
	'address' =>array('class','style'),
	'area' =>array('shape','coords','href','alt'),
	'article' =>array(),
	'aside' =>array(),
	'audio' =>array('autoplay','controls','loop','preload','src','class','style'),
	'b' =>array('class','style'),
	'bdi' =>array('dir'),
	'bdo' =>array('dir'),
	'big' =>array(),
	'blockquote' =>array('cite','class','style'),
	'br' =>array(),
	'caption' =>array('class','style'),
	'center' =>array(),
	'cite' =>array(),
	'code' =>array('class','style'),
	'col' =>array('align','valign','span','width','class','style'),
	'colgroup' =>array('align','valign','span','width','class','style'),
	'dd' =>array('class','style'),
	'del' =>array('datetime'),
	'details' =>array('open'),
	'div' =>array('class','style'),
	'dl' =>array('class','style'),
	'dt' =>array('class','style'),
	'em' =>array('class','style'),
	'font' =>array('color','size','face'),
	'footer' =>array(),
	'h1' =>array('class','style'),
	'h2' =>array('class','style'),
	'h3' =>array('class','style'),
	'h4' =>array('class','style'),
	'h5' =>array('class','style'),
	'h6' =>array('class','style'),
	'header' =>array(),
	'hr' =>array(),
	'i' =>array('class','style'),
	'img' =>array('src','alt','title','width','height','id','_src','loadingclass','class','data-latex'),
	'ins' =>array('datetime'),
	'li' =>array('class','style'),
	'mark' =>array(),
	'nav' =>array(),
	'ol' =>array('class','style'),
	'p' =>array('class','style'),
	'pre' =>array('class','style'),
	's' =>array(),
	'section' =>array(),
	'small' =>array(),
	'span' =>array('class','style'),
	'sub' =>array('class','style'),
	'sup' =>array('class','style'),
	'strong' =>array('class','style'),
	'table' =>array('width','border','align','valign','class','style'),
	'tbody' =>array('align','valign','class','style'),
	'td' =>array('width','rowspan','colspan','align','valign','class','style'),
	'tfoot' =>array('align','valign','class','style'),
	'th' =>array('width','rowspan','colspan','align','valign','class','style'),
	'thead' =>array('align','valign','class','style'),
	'tr' =>array('rowspan','align','valign','class','style'),
	'tt' =>array(),
	'u' =>array(),
	'text' =>array(),//simple_html_dom里文字tag用text表示
	'ul' =>array('class','style')
);

白名单有了之后就要开始处理了。既然要处理html就要有处理html的工具。这里我选用simple_html_dom(百度可以查到，这里就不发链接了)
下面分析内容的dom：

$uedata="<div>$html</div>";//simple_html_dom会把根节点转换为root
$dom=str_get_html($html);//用simple_html_dom解析内容

这里解析部分就完成了。由于simple_html_dom解析的是树形结构，所以遍历时需要用图的遍历方式，这里我选用了dfs遍历

$doms=$dom->root->children;//取根节点准备dfs遍历
$this->dfs($doms);//遍历处理
$html=$dom->outertext;//将处理结果返回
$dom->clear();//释放内存

这里遍历处理很简单了，使用dfs递归就可以了。逐个判断tag和params，合格的留下，不合格的删掉。这里我的代码是这样的：

	public function dfs($doms){
		foreach ($doms as $domitem) {
			if($domitem->tag=='text'){
				$domitem->innertext=htmlspecialchars($domitem->innertext);
			}
			if(!in_array($domitem->tag, array_keys($this->allowParams))){
				$domitem->outertext="";
			}else{
				foreach ($domitem->attr as $key => $value) {
					$d=strtolower($value);
					if($domitem->tag=="a"&&$key=="href"&&strpos($d, "http")!==0)
						$domitem->removeAttribute($key);
					else if(!in_array($key, $this->allowParams[$domitem->tag])||strpos($d, 'script')!==false||strpos($d, '&#x')!==false||($domitem->tag=='img'&&$key=="style"&&strpos($d, 'expression')!==false))
						$domitem->removeAttribute($key);
				}
				if(!empty($domitem->children))
					$this->dfs($domitem->nodes);
			}
		}
	}

(感谢 @轻轻的烟雾 的提醒，现已更正新增了a标签的href验证)
到此整个处理就结束了。整合后放到ThinkPHP扩展类，代码如下：

<?php
<?php
namespace Org\Util;
require 'simple_html_dom.php';
class UEditorXSSRejector{
	private $allowParams;
	public function parse($uedata){
		$uedata=str_replace("&#", "", $uedata);
		$uedata=preg_replace("/<<+/","&lt;<",$uedata);
		$this->allowParams=array(//白名单
			'a'=>array('target','href','title','class','style'),
			'abbr'=>array('title','class','style'),
			'address' =>array('class','style'),
			'area' =>array('shape','coords','href','alt'),
			'article' =>array(),
			'aside' =>array(),
			'audio' =>array('autoplay','controls','loop','preload','src','class','style'),
			'b' =>array('class','style'),
			'bdi' =>array('dir'),
			'bdo' =>array('dir'),
			'big' =>array(),
			'blockquote' =>array('cite','class','style'),
			'br' =>array(),
			'caption' =>array('class','style'),
			'center' =>array(),
			'cite' =>array(),
			'code' =>array('class','style'),
			'col' =>array('align','valign','span','width','class','style'),
			'colgroup' =>array('align','valign','span','width','class','style'),
			'dd' =>array('class','style'),
			'del' =>array('datetime'),
			'details' =>array('open'),
			'div' =>array('class','style'),
			'dl' =>array('class','style'),
			'dt' =>array('class','style'),
			'em' =>array('class','style'),
			'font' =>array('color','size','face'),
			'footer' =>array(),
			'h1' =>array('class','style'),
			'h2' =>array('class','style'),
			'h3' =>array('class','style'),
			'h4' =>array('class','style'),
			'h5' =>array('class','style'),
			'h6' =>array('class','style'),
			'header' =>array(),
			'hr' =>array(),
			'i' =>array('class','style'),
			'img' =>array('src','alt','title','width','height','id','_src','loadingclass','class','data-latex','style'),
			'ins' =>array('datetime'),
			'li' =>array('class','style'),
			'mark' =>array(),
			'nav' =>array(),
			'ol' =>array('class','style'),
			'p' =>array('class','style'),
			'pre' =>array('class','style'),
			's' =>array(),
			'section' =>array(),
			'small' =>array(),
			'span' =>array('class','style'),
			'sub' =>array('class','style'),
			'sup' =>array('class','style'),
			'strong' =>array('class','style'),
			'table' =>array('width','border','align','valign','class','style'),
			'tbody' =>array('align','valign','class','style'),
			'td' =>array('width','rowspan','colspan','align','valign','class','style'),
			'tfoot' =>array('align','valign','class','style'),
			'th' =>array('width','rowspan','colspan','align','valign','class','style'),
			'thead' =>array('align','valign','class','style'),
			'tr' =>array('rowspan','align','valign','class','style'),
			'tt' =>array(),
			'u' =>array(),
			'text' =>array(),
			'ul' =>array('class','style')//,
			//'video' =>array('autoplay','controls','loop','preload','src','height','width','class','style')
		);
		$uedata="<div>$uedata</div>";
		$dom=str_get_html($uedata);
		$doms=$dom->root->children;
		$this->dfs($doms);
		$html=$dom->outertext;
		$dom->clear();
		return $html;
	}
	public function dfs($doms){
		foreach ($doms as $domitem) {
			if($domitem->tag=='text'){
				$domitem->innertext=htmlspecialchars($domitem->innertext);
			}
			if(!in_array($domitem->tag, array_keys($this->allowParams))){
				$domitem->outertext="";
			}else{
				foreach ($domitem->attr as $key => $value) {
					$d=strtolower($value);
					if($domitem->tag=="a"&&$key=="href"&&strpos($d, "http")!==0)
						$domitem->removeAttribute($key);
					else if(!in_array($key, $this->allowParams[$domitem->tag])||strpos($d, 'script')!==false||strpos($d, '&#x')!==false||($domitem->tag=='img'&&$key=="style"&&strpos($d, 'expression')!==false))
						$domitem->removeAttribute($key);
				}
				if(!empty($domitem->children))
					$this->dfs($domitem->nodes);
			}
		}
	}
}
?>

将simple_html_dom.php重命名为simple_html_dom.class.php放到\Org\Utils下，增加命名空间声明。然后将上述代码保存为UEditorXSSRejector.class.php放在同目录下。然后在function里调用：

use Org\Util;
function remove_xss($val) {
	$xss = new \Org\Util\UEditorXSSRejector();
	return $xss->parse($val);
}

大工告成。拿wangEditor提交到Controller试了一下不管是加粗倾斜有序无序列表链接图片等等都感觉没什么问题。

thinkphp6 过滤XSS攻击 详解
jack_qinSer的博客
12-15 670
首先使用composer执行命令 composer require ezyang/htmlpurifier 在app/common.php公共文件中定义remove_xss函数 if (!function_exists('remove_xss')) { //使用htmlpurifier防范xss攻击 function remove_xss($string){ //相对index.php入口文件，引入HTMLPurifier.auto.php核心文件 .
PHP的thinkphp框架添加百度UEditor富文本编辑器
weixin_40205005的博客
06-20 2249
1.首先到UEditor官网下载适合的资源，我的是php。2.下载后解压到任意位置，只要引用的时候路径能对。（我放在了我的公共文件夹Public下）3.在页面中引入UEditor的js文件4.在需要插入富文本的地方写标签，id为content5.再在body后写js如下5.在对应的控制器里写如下，即可显示7.页面如下...
Thinkphp防XSS跨站脚本攻击漏洞
美奇软件开发工作室
05-12 2430
XSS(Cross Site Scripting, 跨站脚本攻击), 在 Web攻击中比较常见的方式, 通过此攻击可以控制用户终端做一系列的恶意操作, 如 可以盗取, 篡改, 添加用户的数据或诱导到钓鱼网站等。上面那段黑客的xss脚本代码，主要是为了获取网站cookie，然后实现匿名访问。
TP5框架 《防sql注入、防xss攻击》
热门推荐
涛々的技术博客
01-23 1万+
如题：tp5怎么防sql注入 xss跨站脚本攻击呢？ 其实很简单，TP框架中有自带的，在 application/config.php 中有个配置选项： 框架默认没有设置任何过滤规则，你可以是配置文件中设置全局的过滤规则： // 默认全局过滤方法 用逗号分隔多个 'default_filter' =&gt; 'htmlspecialchars,addslashes,strip_tags'...
php富文本中防止xss,【PHP】富文本HTML过滤器：HTMLPurifier使用教程（防止XSS）
weixin_42300879的博客
04-01 361
本来转载自：www.ttkmwl.com --最全面的程序代码下载论坛-通天源码论坛 在编程开发时安全问题是及其重要的，对于用户提交的数据要进行过滤，XSS就是需要重视的一点，先说一下什么是XSS，简单来说就是用户提交数据(例如发 表评论，发表日志)时往Web页面里插入恶意JavaScript代码例如死循环，疯狂的alert，这还不算还可能会修改页面页面上的html元素(例 如登录表单的acti...
php富文本中防止xss,允许用户做富文本编辑的站点要怎么防 XSS 呢
weixin_30335379的博客
04-01 638
42019-03-12 10:26:10 +08:00参考下```java// 预编译 XSS 过滤正则表达式private static List xssPatterns = ListUtils.newArrayList(Pattern.compile("(|))|(\\s*(script|link|style|iframe)\\s*>)", Pattern.CASE_INSENSITIV...
ThinkPHP自动转义存储富文本编辑器内容导致读取出错的解决方法
01-21
我在我的项目中使用了Kindeditor富文本编辑器（或许你使用的是Ueditor\ckeditor）,通过富文本编辑器编辑文章的内容然后存储到数据库中，再从数据库中读取显示到网页上来。 在这个过程中，我遇到一个问题，当我在...
ThinkPHP中使用Ueditor富文本编辑器
10-23
在ThinkPHP框架中集成Ueditor富文本编辑器是常见的需求，用于提供用户友好的文本编辑体验，例如在创建博客、论坛或CMS系统时。Ueditor是一款功能强大的在线文本编辑器，支持多种格式的文本处理，如图片上传、表格、...
thinkphp6 Uditor富文本编辑器详细操作
Xs_Summer的博客
11-12 1785
首先要先下载Uditor点击下载 下载得到的是一个压缩包，里面只有一个名为utf8-php的文件夹，我们将此解压出来并重命名为ueditor并放入TP6框架中的public目录下的static目录中 引入UEditor所需的JS文件 <script type="text/javascript" src="/static/ueditor/ueditor.config.js"></script> <script type="text/javascript" ..
富文本输出如何避免XSS
最新发布
jimmyleeee的专栏
05-12 3649
有时网站为了美观，会允许用户输入一些富文本，这样在显示的时候，就可以显示的更友好。虽然在输入富文本的时候在客户端进行了控制，但是，仍然难易避免一些攻击者通过抓包篡改数据绕过客户端的控制。因此，在服务器端收到富文本的数据之后，还是要进行净化处理。
php实现XSS安全过滤的方法
12-19
本文实例讲述了php实现XSS安全过滤的方法。分享给大家供大家参考。具体如下： function remove_xss($val) { // remove all non-printable characters. CR(0a) and LF(0b) and TAB(9) are allowed // this prevents some character re-spacing such as // note that you have to handle splits with \n, \r, and \t later since they *a
php xss过滤
NiceGY
12-16 2447
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，进而达到某些人的攻击目的。 下面是thinkphp里面的一段代码，用于过滤xss
XSS攻击解析
qq_59527682的博客
11-16 258
1.什么是XSS攻击 　　跨站脚本攻击(Cross Site Scripting)，攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。2.转化思想防范xss攻击 　　修改application/config.php 　　注：在框架配置文件中，配置的函数名称，如果写错，页面不会报错，只是所有接收的数据都是null. 　　　　'default_filter' => 'htmlspecialchars',3.过滤思想防
ThinkPHP6 预防XSS攻击的一点小建议
u011415782的专栏
07-22 709
前几天，我们线上项目，出现一些恶意攻击行为；基本就是恶意用户在一些接口开放的参数上，最简单的处理方式，就是过滤处理请求参数。的代码，从而影响网站的正常访问。两边的标签，类似微博过滤效果。这是典型的XSS攻击行为。............
[bhpyg] Thinkphp5 XSS攻击防御
u011436748的博客
01-14 790
1、什么是XSS攻击 跨站脚本攻击(Cross Site Scripting)，攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。 模拟过程： 添加功能中，请求参数值包含script标签js代码 添加成功之后，数据表中： [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-aaWwUc0I-1610609856714)(file:///C:\Users\asus\AppData\Local\T
关于XSS攻击及其防御
Wang的专栏
06-04 3947
【代码】关于XSS攻击及其防御。
ThinkPhp中防止Xss攻击
wwwchenyc的博客
03-09 2898
收集用户提交的表单信息时候，该表单里边有可能存在相关的“代码”(html/css/js等代码)，这样代码会在信息显示的时候对页面效果造成干扰。 防范：htmlspecialchars ,作用把“”符号变为符号实体       htmlpurifier  ,清空不符合标准的标记内容，保留允许的标记内容 具体使用方法， 1、下载htmlpurifier，解压后将library文件夹放到Thin
后端php过滤富文本的xss，前端显示再还原样式
qq422431474的博客
09-09 438
后端代码 $content =htmlspecialchars(remove_xss(trim($request->input('content')))); function remove_xss($val) { $val = preg_replace ( '/([\x00-\x08\x0b-\x0c\x0e-\x19])/', '', $val ); $search = 'abcdefghijklmnopqrstuvwxyz'; $search .= 'ABCDEF.
评论 6
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值