在 ExpressionEngine 中使用 SafeCracker 剥离 HTML 和 CSS 内联样式

Question

我在 ExpressionEngine 中使用 SafeCracker 构建了一个表单。文本区域字段之一用于允许用户提交 HTML 代码。

以下是他们将提供的代码类型的示例：

。

当提交表单并将条目保存到数据库时，SafeCracker 会去除内联 CSS 样式。实际保存到数据库的结果是：

。

正如您所看到的，内联 CSS 样式已被删除，但 HTML 的其余部分仍保留。

我希望允许用户能够提交 HTML 代码，而不是让 SafeCracker 删除内联 CSS 样式。我怎样才能做到这一点？

Answer 1

SafeCracker 使用内置的 ExpressionEngine XSS 清理方法来清理用户提交的输入来自跨站脚本 (XSS) 和 SQL 注入漏洞。

任何前端用户输入在插入数据库或输出到屏幕之前都会使用 $this->EE->security->xss_clean() 进行清理。

值得庆幸的是，EllisLab 的工程师提供了一种秘密的、未记录的方式，将 SafeCracker 中使用的 fieldtypes 和 field_ids 列入“白名单”，并使它们免受 XSS 过滤。

要阻止 SafeCracker 剥离给定字段中的所有 HTML，请打开以下文件，具体取决于您正在运行哪个版本的 ExpressionEngine：

EE 2.1.3 或更低版本（SafeCracker 作为第三方插件安装）
/system/expressionengine/third_party/safecracker/libraries/safecracker_lib.php

---

EE 2.2.0 或更高版本（SafeCracker 作为第一方模块安装）
/system/expressionengine/modules/safecracker/libraries/safecracker_lib.php

注意：ExpressionEngine 2.2.0 将 SafeCracker 捆绑为第一方模块，因此您的安装位置将取决于您的版本正在运行或已升级。

向下滚动到第 2371 行（对于 EE 2.1.3） 或 第 2516 行（对于EE 2.2) 并查找以下内容：

$this->skip_xss_fieldtypes = array();
$this->skip_xss_field_ids = array();

这就是乐趣的开始。要将某个字段“列入白名单”以防止应用 XSS 过滤器，只需将 fieldtype 或 field_id 添加到任一数组即可。

下面是一个示例：

$this->skip_xss_fieldtypes = array(
    // This is the fieldtype as specified in the Control Panel
    // Channel Fields, not what you use in your SafeCracker template
    'textarea'
);
$this->skip_xss_field_ids = array(
    // This is the field_id from the exp_channel_data MySQL Table
    'field_id_1'
);

您可以指定某种类型的 fieldtype（文本区域、输入等），或者如果您希望更明确的话，也可以指定 field_id。前一种方法更通用，而后者是绝对的，并且如果自定义字段要更改其类型，则更灵活。

通过这些更改，您免于 XSS 清理方法的任何字段将不再应用任何过滤，并允许将任意 HTML 提交到数据库中！

请记住，对 ExpressionEngine 的任何升级都可能会覆盖此文件，因此您可能需要更改该文件的权限或保留备份。

应该非常认真地对待跨站点脚本，因为您永远不会希望您的网站成为攻击媒介的来源。总是谨慎行事。