Yii框架中使用CHtmlPurifier过滤文本内容防止XSS攻击

admin

Yii框架中使用CHtmlPurifier过滤文本内容防止XSS攻击
1、在控制器中使用：

1. public function actionCreate()
   
2. {
   
3.     $model=new News;
   
4. 
   
5.     $purifier = new CHtmlPurifier();
   
6.     $purifier->options = array(
   
7.         'URI.AllowedSchemes'=>array(
   
8.             'http' => true,
   
9.             'https' => true,
   
10.         ),
    
11.         'HTML.Allowed'=>'div',
    
12.     );
    
13. 
    
14.     if(isset($_POST['News']))
    
15.     {
    
16.         $model->attributes=$_POST['News'];
    
17.         $model->attributes['content'] = $purifier->purify($model->attributes['content']);
    
18.         if($model->save())
    
19.             $this->redirect(array('view','id'=>$model->id));
    
20.     }
    
21. }

复制代码

2、在模型中的使用：

1. protected function beforeSave()
   
2. {
   
3.     $purifier = new CHtmlPurifier();
   
4.     $purifier->options = array(
   
5.         'URI.AllowedSchemes'=>array(
   
6.             'http' => true,
   
7.             'https' => true,
   
8.         ),
   
9.         'HTML.Allowed'=>'div',
   
10.     );
    
11. 
    
12.     if(parent::beforeSave()){
    
13.         if($this->isNewRecord){
    
14.             $this->create_data = date('y-m-d H:m:s');
    
15.             $this->content = $purifier->purify($this->content);
    
16.         }
    
17.         return true;
    
18.     }else{
    
19.         return false;
    
20.     }
    
21. }

复制代码

3、在过滤器中的使用：

1. public function filters()
   
2. {
   
3.     return array(
   
4.         'accessControl', // perform access control for CRUD operations
   
5.         'postOnly + delete', // we only allow deletion via POST request
   
6.         'purifier + create', //载入插入页面时进行些过滤操作
   
7.     );
   
8. }
   
9. 
   
10. public function filterPurifier($filterChain){
    
11.     $purifier = new CHtmlPurifier();
    
12.     $purifier->options = array(
    
13.         'URI.AllowedSchemes'=>array(
    
14.             'http' => true,
    
15.             'https' => true,
    
16.         ),
    
17.         'HTML.Allowed'=>'div',
    
18.     );
    
19.     if(isset($_POST['news']){
    
20.         $_POST['news']['content'] = $purify($_POST['news']['content']);
    
21.     }
    
22.     $filterChain->run();
    
23. }

复制代码

4、在视图中的使用：

1. <?php $this->beginWidget('CHtmlPurifier'); ?>
   
2.     ...显示用户输入的内容在这里....
   
3. <?php $this->endWidget(); ?>

复制代码