超详细迅睿CMS防XSS攻击核心设置小白必看避坑干货

很多用迅睿做个人站、企业站的朋友，刚上线没几天就收到XSS漏洞警告？别慌，这事儿真不是你代码太菜，而是官方默认的配置，有时候会留一点点小口子。 先唠唠XSS到底是个啥坏东西，用咱们打游戏的场景说，就是有个“伪装者”，混进了你网站的用户输入框里，比如留言板、文章评论、后台会员昵称这种地方，把恶意代码裹成正常的文字、表情发进去，等其他用户或者你自己点开看的时候，这段代码就偷偷运行了——轻则弹个垃圾广告，重则偷你Cookie盗后台账号，甚至篡改整个页面内容，太膈应人了对吧？ 迅睿其实早就给咱们搭好了防火墙，只是很多人没找到开关，或者打开后忽略了细节。 第一处必调的后台设置，是全局内容过滤。这个就像你家门口的安检门，不管是前台还是后台传进来的所有文字，都得扫一遍。找的路径很简单，登录迅睿后台，点顶部菜单的「系统」，找到「内容安全」子菜单，进去就看到了。 里面有个「开启全局XSS过滤」的选项，一定要拉到「开启（强制过滤前台+后台所有输入）」，别选只过滤前台！别嫌后台麻烦，万一你的后台编辑器密码不小心被别人瞟到一点，留了个后门都不知道。还有下面的「过滤规则」，默认的就够用，别乱删，最多可以加个自己敏感的关键词组，但加太多会影响正常用户输入哦。 很多企业站或者内容站喜欢用自定义字段，对吧？这里也是XSS的重灾区！很多新手觉得自定义字段自己用得少，就不管了，这可不行。 第二个关键点，是自定义字段单独加锁。不管你是加了文本框、多行文本，还是富文本，都得单独检查过滤设置。路径是「内容」→「模型管理」，找到你正在用的模型，比如文章模型，点右侧的「字段」，然后逐个点开自定义字段。 在每个字段的「基本设置」或者「安全设置」里，一般都会有个「是否过滤XSS」的选项，有的默认是关闭的，尤其是富文本！哦对了，富文本这里有点特殊，不能直接全关所有标签，不然文章格式全乱套了，迅睿贴心的给了个「允许HTML标签白名单」的选项，你就用官方给的默认白名单就行，别加script、iframe这种高危标签，加了等于白过滤。 除了后台这些开关，还有个容易被忽略的地方——第三方插件或者模板自带的表单。很多朋友为了省事，直接在网上找免费模板、免费插件用，根本不看里面的代码，很多没良心的分享者，要么忘了做XSS过滤，要么故意留了小漏洞。 遇到这种情况怎么办？别慌，先看表单的提交地址是不是指向迅睿自己的API，如果是，一般没问题，只要后台全局过滤开了就行。如果是指向第三方或者自定义的PHP文件，那你就得自己加一层过滤了，用迅睿自带的dr_xss_clean()函数就行，代码很简单，比如你收到一个$_POST['username']的参数，直接写成$username = dr_xss_clean($_POST['username']);，这个函数就会把里面的恶意代码全清掉。