Discuz!您当前的访问请求当中含有非法字符，已经被系统拒绝解决方案

admin

Discuz!您当前的访问请求当中含有非法字符，已经被系统拒绝解决方案

PHP Debug

3 r4 Y6 i2 ~. K" y1 B$ Z9 }4 zPHP Debug

/ m3 ~& G: o3 I# E4 f) J( z[Line: 0022]search.php(discuz_application->init)
# m& s$ q3 \) \5 q; d[Line: 0072]source/class/discuz/discuz_application.php(discuz_application->_init_misc)
[Line: 0596]source/class/discuz/discuz_application.php(discuz_application->_xss_check)
' d/ C7 N7 V9 A& e- x- z6 B: G[Line: 0372]source/class/discuz/discuz_application.php(system_error)
2 A  E% U- Y4 n, {9 y! J7 M( K[Line: 0023]source/function/function_core.php(discuz_error::system_error)
  ?% Q" q- s& c; W( b[Line: 0024]source/class/discuz/discuz_error.php(discuz_error::debug_backtrace)

$ z1 S8 V6 I" P# U0 ~+ t; q9 e( Q
关于Discuz!中“您当前的访问请求当中含有非法字符，已经被系统拒绝”的问题，在添加或更新文章的时候经常出现，经测试发现出现这种情况更多的在使用工具（如火车头采集器）批量发布文章时出现，仔细分析发现，当发布的正文内容出现特殊符号（&，/，<,>等）时出现这样的错误提示。

8 A7 y& F& K0 g$ G2 Q6 b9 |出现这样的错误主要是因为Discuz!系统的_xss_check()函数原本的意义是为了论坛安全，防止XSS攻击，一般网站使用是不会出现什么问题的，但是有些网站要接入第三方接口，当第三方接口向本站post数据的时候就会报”您当前的访问请求当中含有非法字符，已经被系统拒绝”，本文介绍一种简单的修改方法避免此错误。
8 ~- V" a- @: T# ~
# E! ~8 H$ ^1 F/ B解决方案如下：

; F9 {4 S" s/ O) {\source\class\discuz的discuz_application.php
% @" m' ^5 O. l' ]$ M3 U, h; ~/ @. _
查找如下代码（在360行左右），并替换


$ D2 W+ d% G$ y
- Z/ X8 a4 L8 `! ]5 |
PHP代码：


private function _xss_check() {
2 R# V7 {3 D' Z5 }7 g9 N- H  sstatic $check = array('"', '>', '<', '\'', '(', ')', 'CONTENT-TRANSFER-ENCODING');
# y5 }7 m* [3 z3 kif(isset($_GET['formhash']) && $_GET['formhash'] !== formhash()) {
& \1 H3 ]) x" ysystem_error('request_tainting');
}
if($_SERVER['REQUEST_METHOD'] == 'GET' ) {
$temp = $_SERVER['REQUEST_URI'];
* c$ e( }$ H8 m8 q} elseif(empty ($_GET['formhash'])) {
$temp = $_SERVER['REQUEST_URI'].file_get_contents('php://input');
} else {
; c( c: Y9 S' T: c( l  ?8 H$ _$temp = '';
! V4 {7 S' N. E, p; A}
7 X  N8 F, `0 W8 u+ ^5 ^2 Mif(!empty($temp)) {
$temp = strtoupper(urldecode(urldecode($temp)));
foreach ($check as $str) {
3 v% A' _; v5 S4 G* R! B  nif(strpos($temp, $str) !== false) {
' ^9 r" L/ a$ n* P7 U% osystem_error('request_tainting');
, g$ R# G) R  U/ q}
}
}
return true;
}
: Q  i% C3 h  O; h' {; [6 M. S5 }

6 z& h% x: R! o  X- e$ O5 f4 R5 H5 b7 J替换为：
% y1 V0 U- K7 a% C% F
PHP代码：
# c* ?8 J+ X; N! H: w+ p

0 f+ z7 n" @0 s1 ]! E: ?private function _xss_check() {
$temp = strtoupper(urldecode(urldecode($_SERVER['REQUEST_URI'])));
if(strpos($temp, '<') !== false || strpos($temp, '"') !== false || strpos($temp, 'CONTENT-TRANSFER-ENCODING') !== false) {
system_error('request_tainting');
* H- `+ J0 {+ |% G- P8 {}
return true;
% n4 d8 L- u; q}
/ E2 o0 }% n# N! R% @' g
% {% N% H2 Z( V0 d/ t! t
% t9 C0 |. }+ h# U( ?