Discuz! 请求含非法字符被拒的解决方法

在Discuz!系统中，_xss_check()函数的主要目的是为了保障论坛的安全性，防止XSS（跨站脚本）攻击。对于一般的网站来说，这个功能不会引发任何问题。然而，有些网站需要接入第三方接口时，当这些接口向网站POST数据时，可能会遇到“您当前的访问请求当中含有非法字符，已经被系统拒绝”的错误提示。本文将介绍一种简单的修改方法来避免这一错误。
解决方案如下：
首先，找到文件路径：\\source\\class\\discuz\\discuz_application.php
然后，查找以下代码段：


private function _xss_check() {
        static $check = array('\\"', '>', '<', '\\'', '(', ')', 'CONTENT-TRANSFER-ENCODING');
        if(isset($_GET@['formhash']) && $_GET@['formhash'] !== formhash()) {
                        system_error('request_tainting');
        }
        if($_SERVER['REQUEST_METHOD'] == 'GET' ) {
                        $temp = $_SERVER['REQUEST_URI'];
        } elseif(empty ($_GET@['formhash'])) {
                        $temp = $_SERVER['REQUEST_URI'].file_get_contents('php://input');
        } else {
                        $temp = '';
        }
        if(!empty($temp)) {
                $temp = strtoupper(urldecode(urldecode($temp)));
                foreach ($check as $str) {
                                if(strpos($temp, $str) !== false) {
                                                system_error('request_tainting');
                                }
                }
        }
        return true;
}

接下来，将其替换为以下代码：


private function _xss_check() {
        $temp = strtoupper(urldecode(urldecode($_SERVER['REQUEST_URI'])));
        if(strpos($temp, '<') !== false || strpos($temp, '\\"') !== false || strpos($temp, 'CONTENT-TRANSFER-ENCODING') !== false) {
                        system_error('request_tainting');
        }
        return true;
}

通过上述修改，可以有效解决因第三方接口POST数据而导致的非法字符错误问题。此方法简化了原有的_xss_check()函数逻辑，仅对REQUEST_URI中的特定字符进行检查，从而避免了不必要的错误拦截。
需要注意的是，在进行此类修改之前，请确保备份原始文件，以便在出现问题时能够迅速恢复。此外，修改后的代码仍保留了对关键非法字符的检测，以保证系统的安全性。
希望以上内容能帮助您解决Discuz!系统中与第三方接口交互时出现的问题。如果您还有其他疑问或需要进一步的帮助，请随时联系技术支持团队。

推荐阅读