Codeigniter - Deaktiviert XSS-Filterung auf Postbasis

Wenn Sie möchten, um Globale xss_clean aktiviert und überschreiben nur auf bestimmte Fälle, können Sie erweitern die Eingabe-Bibliothek zu halten, ein Klon von $_POST für die Bereitstellung von raw-Daten, wenn Sie gefragt werden:

<?php if (!defined('BASEPATH')) exit('No direct access allowed.');
class MY_Input extends CI_Input {

public function __construct() {
    $this->_POST_RAW = $_POST; //clone raw post data 
    parent::__construct(); 
}

public function post($index = null, $xss_clean = TRUE) { 
    if(!$xss_clean){ //if asked for raw post data -eg. post('key', false)-, return raw data. Use with caution.
        return $this->_POST_RAW[$index];
    }
    return parent::post($index, $xss_clean); 
    }
}
?>

Diese Weise können Sie $this->input->post('mydata', FALSE) abrufen un-sanitized raw post-Daten, auch wenn xss_clean ist Global aktiviert.

InformationsquelleAutor der Antwort user2966084

In meinem Fall, treeface die Lösung nicht funktioniert, aber ich fand einen anderen Weg. Ich machte MY_Input mit
_sanitize_globals() und ich fügte hinzu, wenn der Bau im Ort ist die Desinfektion der post-Daten.

//Clean $_POST Data
if (is_array($_POST) AND count($_POST) > 0) {
    foreach ($_POST as $key => $val) {
        if($this->_clean_input_keys($key) != 'my_none_sanitize_field')
        $_POST[$this->_clean_input_keys($key)] = $this->_clean_input_data($val);
    }
}

InformationsquelleAutor der Antwort Tomek

arbeiten mit CI 2.2 ich denke, dass die Lösung von treeface verlassen input->get(), input->cookie() usw nicht xss_cleaned. (wir verwenden, erhalten Sie in der oauth-Anfragen etc.). Der global config ändern, hält Sie Sie mit Escapezeichen versehen, indem Sie den Konstruktor und die core-Klasse noch Standardwerte xss_clean auf FALSE, auf diese Methoden...

Ich habe im Grunde implementiert der gleichen Lösung über mehrere Methoden.

class MY_Input extends CI_Input {

    /* fixes to allow xss_clean to be disabled on a per field basis
    * [ e.g. tinymce html content with style /class /event attributes ]
    * initial ref : http://stackoverflow.com/questions/3788476/codeigniter-disable-xss-filtering-on-a-post-basis
    * this is based on CI 2.2
    * the above (stackoverflow) solution only updates the post method - which means all the rest ( get, get_post, cookie, server, request_headers, get_request_header)
    * NB : we need GET to allow oauth type activities !
    *
    *   1 - change the global config to xss_clean = false [ otherwise the constructor will 'xss_clean' everything before we have a chance to say no ! ]
    *   2 - make all of methods that take the xss_clean parameter use TRUE as default value
    *   3 - we can now pass the second parameter in as FALSE if we do not want to xss_clean
    */

    function get($index = '', $xss_clean = TRUE)
    {
        return parent::get($index, $xss_clean);
    }

    function post($index = '', $xss_clean = TRUE)
    {
        return parent::post($index, $xss_clean);
    }

    function get_post($index = '', $xss_clean = TRUE)
    {
        return parent::get($index, $xss_clean);
    }

    function cookie($index = '', $xss_clean = TRUE)
    {
        return parent::cookie($index, $xss_clean);
    }

    function server($index = '', $xss_clean = TRUE)
    {
        return parent::server($index, $xss_clean);
    }

    function request_headers($xss_clean = TRUE)
    {
        return parent::request_headers($xss_clean);
    }

    function get_request_header($index, $xss_clean = TRUE)
    {
        return parent::get_request_header($index, $xss_clean);
    }

}

hoffe, dies hilft jemand

InformationsquelleAutor der Antwort pugelarouge