·设为首页收藏本站📧邮箱修改🎁免费下载专区📒收藏夹👽聊天室📱AI智能体
返回列表 发布新帖

discuz x3.5第三方插件报错"您当前的访问请求当中含有非法字符,已经被系统拒绝"的解决办法

346 2
发表于 2024-2-5 16:07:45 | 查看全部 阅读模式 | Google Chrome| Windows 10

马上注册,免费下载更多dz插件网资源。

您需要 登录 才可以下载或查看,没有账号?立即注册

×
discuz x3.5第三方插件报错"您当前的访问请求当中含有非法字符,已经被系统拒绝"的解决办法:
Discuz!系统的_xss_check()函数原本的意义是为了社区安全,防止XSS攻击,一般网站使用是不会出现什么问题的,但是有些网站要接入第三方接口,当第三方接口向本站post数据的时候就会报"您当前的访问请求当中含有非法字符,已经被系统拒绝",本文介绍一种简单的修改方法避免此错误。
解决方案如下:
\source\class\discuz\discuz_application.php
查找:【约363~395行】
  1. private function _xss_check() {

  2.                 static $check = array('"', '>', '<', '\'', '(', ')', 'CONTENT-TRANSFER-ENCODING');

  3.                 if(isset($_GET['formhash']) && $_GET['formhash'] !== formhash()) {
  4.                         if(defined('CURMODULE') && constant('CURMODULE') == 'logging' && isset($_GET['action']) && $_GET['action'] == 'logout') {
  5.                                 header("HTTP/1.1 302 Found");
  6.                                 header("Location: index.php");
  7.                                 exit();
  8.                         } else {
  9.                                 system_error('request_tainting');
  10.                         }
  11.                 }

  12.                 if($_SERVER['REQUEST_METHOD'] == 'GET' ) {
  13.                         $temp = $_SERVER['REQUEST_URI'];
  14.                 } elseif(empty ($_GET['formhash'])) {
  15.                         $temp = $_SERVER['REQUEST_URI'].http_build_query($_POST);
  16.                 } else {
  17.                         $temp = '';
  18.                 }

  19.                 if(!empty($temp)) {
  20.                         $temp = strtoupper(urldecode(urldecode($temp)));
  21.                         foreach ($check as $str) {
  22.                                 if(strpos($temp, $str) !== false) {
  23.                                         system_error('request_tainting');
  24.                                 }
  25.                         }
  26.                 }

  27.                 return true;
  28.         }
复制代码
discuz x3.5第三方插件报错&quot;您当前的访问请求当中含有非法字符,已经被系统拒绝&quot;的解决办法 可可,西瓜,点微,it618


替换为:
  1. private function _xss_check() {
  2.     $temp = strtoupper(urldecode(urldecode($_SERVER['REQUEST_URI'])));
  3.     if (strpos($temp, '<') !== false || strpos($temp, '"') !== false || strpos($temp, 'CONTENT-TRANSFER-ENCODING') !== false) {
  4.         system_error('request_tainting');
  5.     }
  6.     return true;
  7. }
复制代码


⚠修改不会对系统产生明显影响,来源由作者提供的官方方案:https://www.yuque.com/zimuyun/zhaopin/rvz0p9

我要说一句 收起回复
最后回复时间:2024-02-15 20:19:41社区官方发言人回复了此贴

本帖被以下淘专辑推荐:

一花一世界,一叶一追寻。一曲一场叹,一生为一人。

评论2

AI智能体Lv.7 发表于 2024-2-15 20:19:41 | 查看全部
<', '\'', '(', ')', '‘', '’', '“', '”', ';', '<!--', '-->', '<?', '?>', '<%', '%>', 'eval', 'alert', 'confirm', 'prompt');
                if($this->denyrequest && strpos($_SERVER['REQUEST_URI'], 'plugin.php?id=') === false) {
                        foreach ($_POST as $key => $value) {
                                $this->_xss_check_value($value);
                        }
                        foreach ($_GET as $key => $value) {
                                $this->_xss_check_value($value);
                        }
                        foreach ($_COOKIE as $key => $value) {
                                $this->_xss_check_value($value);
                        }
                }
        }

修改为:

private function _xss_check() {
                // static $check = array('"', '>', '<', '\'', '(', ')', '‘', '’', '“', '”', ';', '<!--', '-->', '<?', '?>', '<%', '%>', 'eval', 'alert', 'confirm', 'prompt');
                static $check = array();
                if($this->denyrequest && strpos($_SERVER['REQUEST_URI'], 'plugin.php?id=') === false) {
                        foreach ($_POST as $key => $value) {
                                $this->_xss_check_value($value);
                        }
                        foreach ($_GET as $key => $value) {
                                $this->_xss_check_value($value);
                        }
                        foreach ($_COOKIE as $key => $value) {
                                $this->_xss_check_value($value);
                        }
                }
        }
此时,重新刷新页面,会发现“您当前的访问请求当中含有非法字符,已经被系统拒绝”的报错信息消失了。
-- 来源:OpenAI ****GPT
我要说一句 收起回复
Discuz智能体Lv.8 发表于 2025-3-16 13:37:23 | 查看全部
在Discuz! X3.5中,`_xss_check()`函数用于防止XSS攻击,它会检查请求中的非法字符。然而,当第三方接口向Discuz站点发送POST请求时,可能会触发这个安全机制,导致报错“您当前的访问请求当中含有非法字符,已经被系统拒绝”。

要解决这个问题,可以通过修改`_xss_check()`函数的逻辑来避免误判。以下是具体的解决方案:

### 1. 修改`_xss_check()`函数
打开文件 `\source\class\discuz\discuz_application.php`,找到`_xss_check()`函数(大约在363~395行)。你可以通过以下方式修改该函数:

  1. private function _xss_check() {
  2.     static $check = array('"', '>', '<', '\'', '(', ')', 'CONTENT-TRANSFER-ENCODING');
  3.     foreach(array('_GET', '_POST', '_COOKIE') as $request) {
  4.         if(isset($GLOBALS[$request])) {
  5.             foreach($GLOBALS[$request] as $key => $value) {
  6.                 if(is_array($value)) {
  7.                     foreach($value as $k => $v) {
  8.                         $this->_do_xss_check($k);
  9.                         $this->_do_xss_check($v);
  10.                     }
  11.                 } else {
  12.                     $this->_do_xss_check($key);
  13.                     $this->_do_xss_check($value);
  14.                 }
  15.             }
  16.         }
  17.     }
  18. }
复制代码


### 2. 添加白名单机制
为了避免第三方接口的请求被误判,可以在`_xss_check()`函数中添加白名单机制。例如,如果某个特定的请求路径或参数是安全的,可以跳过检查:

  1. private function _xss_check() {
  2.     static $check = array('"', '>', '<', '\'', '(', ')', 'CONTENT-TRANSFER-ENCODING');
  3.    
  4.     // 添加白名单
  5.     $whitelist = array(
  6.         'api_path_1', // 第三方接口路径
  7.         'api_path_2', // 另一个第三方接口路径
  8.     );
  9.    
  10.     foreach(array('_GET', '_POST', '_COOKIE') as $request) {
  11.         if(isset($GLOBALS[$request])) {
  12.             foreach($GLOBALS[$request] as $key => $value) {
  13.                 // 如果请求路径在白名单中,跳过检查
  14.                 if (in_array($key, $whitelist)) {
  15.                     continue;
  16.                 }
  17.                
  18.                 if(is_array($value)) {
  19.                     foreach($value as $k => $v) {
  20.                         $this->_do_xss_check($k);
  21.                         $this->_do_xss_check($v);
  22.                     }
  23.                 } else {
  24.                     $this->_do_xss_check($key);
  25.                     $this->_do_xss_check($value);
  26.                 }
  27.             }
  28.         }
  29.     }
  30. }
复制代码


### 3. 禁用`_xss_check()`函数(不推荐)
如果你确定第三方接口是安全的,并且不需要进行XSS检查,可以直接禁用`_xss_check()`函数。不过,这种方法不推荐,因为它会降低网站的安全性。

  1. private function _xss_check() {
  2.     return true; // 直接返回true,跳过检查
  3. }
复制代码


### 4. 注意事项
- **安全性**:修改`_xss_check()`函数可能会降低网站的安全性,因此请确保你信任第三方接口的来源。
- **备份**:在修改任何核心文件之前,请务必备份原始文件,以便在出现问题时可以恢复。
- **测试**:修改后,请确保对网站进行全面测试,确保没有引入新的问题。

通过以上方法,你可以解决Discuz! X3.5第三方插件报错“您当前的访问请求当中含有非法字符,已经被系统拒绝”的问题。如果你有其他问题,欢迎继续咨询!
-- 本回答由 人工智能 AI智能体 生成,内容仅供参考,请仔细甄别。
我要说一句 收起回复

回复

 懒得打字嘛,点击右侧快捷回复【查看最新发布】   【应用商城享更多资源】
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

关闭

站长推荐上一条 /1 下一条

AI智能体
投诉/建议联系

discuzaddons@vip.qq.com

未经授权禁止转载,复制和建立镜像,
如有违反,按照公告处理!!!
  • 联系QQ客服
  • 添加微信客服

联系DZ插件网微信客服|最近更新|Archiver|手机版|小黑屋|DZ插件网! ( 鄂ICP备20010621号-1 )|网站地图 知道创宇云防御

您的IP:18.191.254.28,GMT+8, 2025-3-28 11:28 , Processed in 0.934571 second(s), 92 queries , Gzip On, Redis On.

Powered by Discuz! X5.0 Licensed

© 2001-2025 Discuz! Team.

关灯 在本版发帖
扫一扫添加微信客服
QQ客服返回顶部
快速回复 返回顶部 返回列表