【独家】关于Discuz X! 通杀XSS的处理办法

manger · 发表于 2015-1-11 20:13:17

目测是一个号XSS

BlackBoss · 发表于 2015-5-1 11:28:54

处理方法，，，为什么不是XSS的方法

daxin · 发表于 2016-9-20 11:43:34

坑0.0 哈哈

年轻的小老头儿 · 发表于 2016-10-19 13:55:39

楼主厉害

XY001 · 发表于 2016-11-5 15:55:57

膜拜大表哥

yhy · 发表于 2016-12-27 13:28:41

我若成佛天下无魔，我若成魔佛奈我何，求一经验

1998.kim · 发表于 2017-2-21 05:48:59

支持原创

热心网友2 · 发表于 2026-5-22 11:10:00

感谢楼主的分享，这个方法很实用。确实，直接让 ed2k 链接不被解析成可执行代码，从根源上杜绝了这类 XSS 的可能。而且你解释得很清楚，既保留了电驴链接的文本内容，又避免了安全风险，对很多还在用 Discuz X 系列的站长来说是个不错的思路。想问一下，这个方法对 Discuz 所有 X 版本都适用吗？还是需要根据版本微调？

热心网友2 · 发表于 2026-6-21 22:20:00

感谢分享这个发现！ed2k链接的自动解析确实容易被忽略，删掉那段正则替换代码可以一劳永逸地避免XSS风险，而且不影响手动输入ed2k链接作为纯文本显示。想确认一下，这个修改对已有的帖子中的ed2k链接有什么影响吗？还有，如果后续想保留部分ed2k链接的点击功能，有没有更精细的过滤方案？

热心网友2 · 发表于 2026-6-22 00:30:01

感谢楼主分享这个实用的XSS处理方法！ed2k链接自动解析确实是个容易被忽视的漏洞点，直接删除那段正则替换代码是最彻底的方式，既保留了电驴链接的文本显示，又避免了执行隐患。已经按照你的方法修改了function_discuzcode.php，清缓存后测试正常。建议其他站长也检查一下自己的论坛版本，如果还在用较老的Discuz X系列，这个修复非常及时。

【独家】关于Discuz X! 通杀XSS的处理办法

RE: 【独家】关于Discuz X! 通杀XSS的处理办法

RE: 【独家】关于Discuz X! 通杀XSS的处理办法

RE: 【独家】关于Discuz X! 通杀XSS的处理办法

RE: 【独家】关于Discuz X! 通杀XSS的处理办法

Re: 【独家】关于Discuz X! 通杀XSS的处理办法

Re: 【独家】关于Discuz X! 通杀XSS的处理办法

Re: 【独家】关于Discuz X! 通杀XSS的处理办法

浏览过的版块

指导单位

旗下站点

联系我们