苹果CMS v10/v11全版本XSS漏洞修复教程 小白秒懂后台/模板防黑技巧

最近刷站长社区，看到好多用苹果CMS做影视站、资源站的朋友反馈，网站后台编辑框、前端模板评论甚至播放器模块都出现XSS漏洞痕迹，轻则被挂垃圾引流链接，重则站长账号被盗、全站数据被篡改。这篇苹果CMSXSS漏洞修复教程，我整理了近2个月主流版本暴露出的高危点修复方案，不用懂复杂代码，跟着操作就能快速堵住漏洞，还会分享后续怎么防二次踩坑的小思路，全是自己实操过的干货。

第一步：先堵后台编辑类高危XSS漏洞

这是漏洞重灾区，很多时候都是后台不小心上传了带XSS脚本的图片或文本触发的。

• 先找到苹果CMS根目录下的application/admin/controller/Article.php和application/admin/controller/Video.php文件
• 用文本编辑器（比如Notepad++、VS Code）打开，找到编辑内容提交时的input接收语句，把所有直接使用input('post.xxx')接收的富文本、文本描述字段，加上htmlspecialchars过滤函数
• 举个Video.php的例子，原来的$data['content'] = input('post.content');改成$data['content'] = htmlspecialchars(input('post.content'), ENT_QUOTES, 'UTF-8');，其他字段像简介、标签备注也可以同样处理

第二步：修复前端播放器评论等交互模块的XSS

前端是用户直接访问的地方，被挂黑链影响SEO和访客体验，得用苹果CMS自带的安全函数或者第三方过滤？不对，还是优先官方自带的稳。

苹果CMS有内置的maccms_htmlfilter函数，专门用来过滤前端的恶意脚本，所以我们可以找到前端对应的模板文件（比如默认的template/default/module/comment.html和template/default/player/dplayer.html），把所有输出用户输入内容的地方（比如{$comment.content}）改成{$comment.content|maccms_htmlfilter}。

补充v11特有的上传模块漏洞修复

v11版本更新后有个图片上传预览的小问题，可能被利用上传伪装成图片的脚本，直接触发XSS。

找到根目录public/static/admin/js/upload.js，搜索preview相关的代码，在读取本地文件预览前，先校验文件的真实后缀和MIME类型，而不是只看文件名。

这篇苹果CMSXSS漏洞修复教程，主要针对的是高频次出现的公开漏洞，平时大家也可以多关注苹果CMS的官方论坛或者GitHub仓库，第一时间下载官方补丁更新系统。另外，建议把后台访问路径改成非默认的，设置强密码，定期备份数据库，这样就算有小的漏洞没补上，损失也能降到最低。做资源站影视站确实不容易，安全这块一定要放在心上。