manager/my-worker
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

手机号验证增加199号码段；修正部分功能xss漏洞；

Browse Source
This commit is contained in:
thinkgem
2018-11-08 23:42:18 +08:00
parent a2f6c7cb0b
commit 48b08c81a1
5 changed files with 63 additions and 33 deletions
Download Patch File Download Diff File Expand all files Collapse all files

85
common/src/main/java/com/jeesite/common/codec/EncodeUtils.java
View File

@@ -216,7 +216,34 @@ public class EncodeUtils {
&& !(StringUtils.startsWith(value, "{") && StringUtils.endsWith(value, "}")) // JSON Object
&& !(StringUtils.startsWith(value, "[") && StringUtils.endsWith(value, "]")) // JSON Array
){
value = value.replaceAll("\"", "&quot;").replaceAll("<", "&lt;").replaceAll(">", "&gt;");
StringBuilder sb = new StringBuilder();
for (int i = 0; i < value.length(); i++) {
char c = value.charAt(i);
switch (c) {
case '>':
sb.append("＞");
break;
case '<':
sb.append("＜");
break;
case '\'':
sb.append("＇");
break;
case '\"':
sb.append("＂");
break;
case '&':
sb.append("＆");
break;
case '#':
sb.append("＃");
break;
default:
sb.append(c);
break;
}
}
value = sb.toString();
}
if (logger.isInfoEnabled() && !value.equals(oriValue)){
logger.info("xssFilter: {} <=<=<= {}", value, text);
@@ -250,33 +277,35 @@ public class EncodeUtils {
}
// public static void main(String[] args) {
// xssFilter("你好，<script>alert(document.cookie)</script>我还在。");
// xssFilter("你好，<strong>加粗文字</strong>我还在。");
// xssFilter("<!--HTML-->你好，\"><strong>加粗文字</strong>我还在。");
// xssFilter("<!--HTML-->你好，<iframe src=\"abcdef\"></iframe><strong>加粗文字</strong>我还在。");
// xssFilter("<!--HTML-->你好，<iframe src=\"abcdef\"/><strong>加粗文字</strong>我还在。");
// xssFilter("<!--HTML-->你好，<iframe src=\"abcdef\"><strong>加粗文字</strong>我还在。");
// xssFilter("<!--HTML-->你好，<script type=\"text/javascript\">alert(document.cookie)</script>我还在。");
// xssFilter("<!--HTML-->你好，<script\n type=\"text/javascript\">\nalert(document.cookie)\n</script>我还在。");
// xssFilter("<!--HTML-->你好，<script src='' onerror='alert(document.cookie)'></script>我还在。");
// xssFilter("<!--HTML-->你好，<script type=text/javascript>alert()我还在。");
// xssFilter("<!--HTML-->你好，<script>alert(document.cookie)</script>我还在。");
// xssFilter("<!--HTML-->你好，<script>window.location='url'我还在。");
// xssFilter("<!--HTML-->你好，</script></iframe>我还在。");
// xssFilter("<!--HTML-->你好，eval(abc)我还在。");
// xssFilter("<!--HTML-->你好，xpression(abc)我还在。");
// xssFilter("<!--HTML-->你好，<img src='abc.jpg' onerror='location='';alert(document.cookie);'></img>我还在。");
// xssFilter("<!--HTML-->你好，<img src='abc.jpg' onerror='alert(document.cookie);'/>我还在。");
// xssFilter("<!--HTML-->你好，<img src='abc.jpg' onerror='alert(document.cookie);'>我还在。");
// xssFilter("<!--HTML-->你好，<a onload='alert(\"abc\")'>hello</a>我还在。");
// xssFilter("<!--HTML-->你好，<a href=\"/abc\">hello</a>我还在。");
// xssFilter("<!--HTML-->你好，<a href='/abc'>hello</a>我还在。");
// xssFilter("<!--HTML-->你好，<a href='vbscript:alert(\"abc\");'>hello</a>我还在。");
// xssFilter("<!--HTML-->你好，<a href='javascript:alert(\"abc\");'>hello</a>我还在。");
// xssFilter("<!--HTML-->你好，?abc=def&hello=123&world={\"a\":1}我还在。");
// sqlFilter("你好，select * from xxx where abc=def and 1=1我还在。");
// sqlFilter("你好，insert into xxx values(1,2,3,4,5)我还在。");
// sqlFilter("你好，delete from xxx我还在。");
// int i = 0;
// xssFilter((++i)+"你好，<script>alert(document.cookie)</script>我还在。");
// xssFilter((++i)+"你好，<strong>加粗文字</strong>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，\"><strong>加粗文字</strong>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<iframe src=\"abcdef\"></iframe><strong>加粗文字</strong>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<iframe src=\"abcdef\"/><strong>加粗文字</strong>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<iframe src=\"abcdef\"><strong>加粗文字</strong>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<script type=\"text/javascript\">alert(document.cookie)</script>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<script\n type=\"text/javascript\">\nalert(document.cookie)\n</script>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<script src='' onerror='alert(document.cookie)'></script>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<script type=text/javascript>alert()我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<script>alert(document.cookie)</script>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<script>window.location='url'我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，</script></iframe>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，eval(abc)我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，xpression(abc)我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<img src='abc.jpg' onerror='location='';alert(document.cookie);'></img>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<img src='abc.jpg' onerror='alert(document.cookie);'/>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<img src='abc.jpg' onerror='alert(document.cookie);'>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<a onload='alert(\"abc\")'>hello</a>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<a href=\"/abc\">hello</a>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<a href='/abc'>hello</a>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<a href='vbscript:alert(\"abc\");'>hello</a>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，<a href='javascript:alert(\"abc\");'>hello</a>我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，?abc=def&hello=123&world={\"a\":1}我还在。");
// xssFilter("<!--HTML-->"+(++i)+"你好，?abc=def&hello=123&world={'a':1}我还在。");
// sqlFilter((++i)+"你好，select * from xxx where abc=def and 1=1我还在。");
// sqlFilter((++i)+"你好，insert into xxx values(1,2,3,4,5)我还在。");
// sqlFilter((++i)+"你好，delete from xxx我还在。");
// }
}

2
modules/core/src/main/java/com/jeesite/modules/sys/service/impl/MenuServiceImpl.java
View File

@@ -18,7 +18,7 @@
//@Service
//public class MenuServiceImpl extends MenuServiceSupport {
//
// public MenuServiceExtendImpl() {
// public MenuServiceImpl() {
// this.entityClass = Menu.class;
// }
//

2
modules/core/src/main/java/com/jeesite/modules/sys/service/impl/RoleServiceImpl.java
View File

@@ -18,7 +18,7 @@
//@Service
//public class RoleServiceImpl extends RoleServiceSupport {
//
// public RoleServiceExtendImpl() {
// public RoleServiceImpl() {
// this.entityClass = Role.class;
// }
//

2
modules/core/src/main/java/com/jeesite/modules/sys/service/impl/UserServiceImpl.java
View File

@@ -18,7 +18,7 @@
//@Service
//public class UserServiceImpl extends UserServiceSupport {
//
// public UserServiceExtendImpl() {
// public UserServiceImpl() {
// this.entityClass = User.class;
// }
//

5
modules/core/src/main/resources/config/beetl-core.properties
View File

@@ -90,8 +90,9 @@ FNP.reg = org.beetl.ext.fn.RegxFunctionUtil
FNP.array = org.beetl.ext.fn.ArrayUtil
##内置的格式化函数
FT.dateFormat = org.beetl.ext.format.DateFormat
FT.numberFormat = org.beetl.ext.format.NumberFormat
FT.dateFormat = org.beetl.ext.format.DateFormat
FT.numberFormat = org.beetl.ext.format.NumberFormat
FT.xss = com.jeesite.common.beetl.ext.format.XssFormat
##内置的默认格式化函数
FTC.java.util.Date = org.beetl.ext.format.DateFormat