Laravel5中防止XSS跨站攻击的方法
本文实例讲述了Laravel5中防止XSS跨站攻击的方法。分享给大家供大家参考，具体如下：
Laravel5本身没有这个能力来防止xss跨站攻击了，但是这它可以使用Purifier扩展包集成HTMLPurifier防止XSS跨站攻击。
1、安装
HTMLPurifier是基于PHP编写的富文本HTML过滤器，通常我们可以使用它来防止XSS跨站攻击，更多关于HTMLPurifier的详情请参考其官网：http://htmlpurifier.org/。Purifier是在Laravel5中集成HTMLPurifier的扩展包，我们可以通过Composer来安装这个扩展包：
composerrequiremews/purifier
安装完成后，在配置文件config/app.php的providers中注册HTMLPurifier服务提供者：
'providers'=>[ //... Mews\Purifier\PurifierServiceProvider::class, ] 然后在aliases中注册Purifier门面： 'aliases'=>[ //... 'Purifier'=>Mews\Purifier\Facades\Purifier::class, ]
2、配置
要使用自定义的配置，发布配置文件到config目录：
phpartisanvendor:publish
这样会在config目录下生成一个purifier.php文件：
return[ 'encoding'=>'UTF-8', 'finalize'=>true, 'preload'=>false, 'cachePath'=>null, 'settings'=>[ 'default'=>[ 'HTML.Doctype'=>'XHTML1.0Strict', 'HTML.Allowed'=>'div,b,strong,i,em,a[href|title],ul,ol,li,p[style],br,span[style],img[width|height|alt|src]', 'CSS.AllowedProperties'=>'font,font-size,font-weight,font-style,font-family,text-decoration,padding-left,color,background-color,text-align', 'AutoFormat.AutoParagraph'=>true, 'AutoFormat.RemoveEmpty'=>true ], 'test'=>[ 'Attr.EnableID'=>true ], "youtube"=>[ "HTML.SafeIframe"=>'true', "URI.SafeIframeRegexp"=>"%^(http://|https://|//)(www.youtube.com/embed/|player.vimeo.com/video/)%", ], ], ];
3、使用示例
可以使用辅助函数clean：
clean(Input::get('inputname'));
或者使用Purifier门面提供的clean方法：
Purifier::clean(Input::get('inputname'));
还可以在应用中进行动态配置：
clean('ThisismyH1title','titles');
clean('ThisismyH1title',array('Attr.EnableID'=>true));
或者你也可以使用Purifier门面提供的方法：
Purifier::clean('ThisismyH1title','titles');
Purifier::clean('ThisismyH1title',array('Attr.EnableID'=>true));
php防止xss攻击
<?PHP
functionclean_xss(&$string,$low=False)
{
if(!is_array($string))
{
$string=trim($string);
$string=strip_tags($string);
$string=htmlspecialchars($string);
if($low)
{
returnTrue;
}
$string=str_replace(array('"',"\\","'","/","..","../","./","//"),'',$string);
$no='/%0[0-8bcef]/';
$string=preg_replace($no,'',$string);
$no='/%1[0-9a-f]/';
$string=preg_replace($no,'',$string);
$no='/[\x00-\x08\x0B\x0C\x0E-\x1F\x7F]+/S';
$string=preg_replace($no,'',$string);
returnTrue;
}
$keys=array_keys($string);
foreach($keysas$key)
{
clean_xss($string[$key]);
}
}
//justatest
$str='jb51.net<metahttp-equiv="refresh"content="0;">';
clean_xss($str);//如果你把这个注释掉，你就知道xss攻击的厉害了
echo$str;
?>
更多关于Laravel相关内容感兴趣的读者可查看本站专题：《Laravel框架入门与进阶教程》、《php优秀开发框架总结》、《smarty模板入门基础教程》、《php日期与时间用法总结》、《php面向对象程序设计入门教程》、《php字符串(string)用法总结》、《php+mysql数据库操作入门教程》及《php常见数据库操作技巧汇总》
希望本文所述对大家基于Laravel框架的PHP程序设计有所帮助。