# CodeIgniter 用户指南 版本 2.2.0

编辑文档、查看近期更改请 登录 或 注册 找回密码

搜索用户指南

查看原文

# 安全类

安全类包含一些方法，能帮助您创建安全的应用程序，对输入的数据进行安全方面的处理.

## XSS 过滤

CodeIgniter 包含了跨站脚本攻击的防御机制，它可以自动地对所有POST以及COOKIE数据进行过滤，或者您也可以针对单个项目来运行它。默认情况下，它 不会 全局运行，因为这样也需要一些执行开销，况且您也不一定在所有情况下都用得到它.

XSS过滤器会查找那些常被用来触发JavaScript或者其他类型的企图劫持cookie或进行其它恶意行为的代码. 如果发现任何不允许的内容，它将把那些内容转换为字符实体，以确保安全.

注意: 此函数只应该用来处理那些提交过来的数据. 它不适合在常规运行时使用，因为它执行时的开销也是不容忽视的.

要使用XSS过滤器对数据进行过滤，请使用此函数:

## $this->security->xss_clean()

下面是一个使用实例:

`$data = $this->security->xss_clean($data);`

如果你希望过滤器能自动过滤所有被访问到的POST或者COOKIE数据，请打开你的 `application/config/config.php` 文件，进行如下设置即可启用自动过滤:

`$config['global_xss_filtering'] = TRUE;`

说明: 如果你使用表单验证类，同样也有XSS过滤的选项.

第二个可选的参数, is_image, 允许此函数对图片进行检测以发现那些潜在的 XSS 攻击, 这对于保证文件上传的安全非常有用. 当此参数被设置为 TRUE 时, 此函数的返回值不是一个修改过的字符串而是一个布尔值, 如果图片是安全的则返回 TRUE, 相反, 如果图片中包含有潜在的、可能会被浏览器尝试运行的恶意信息, 函数将返回FALSE.

`if ($this->security->xss_clean($file, TRUE) === FALSE)
{
// file failed the XSS test
}`

## $this->security->sanitize_filename()

当接受用户所输入的文件名时, 最好是对它们进行一下“消毒”, 这样能避免目录被遍历以及其它安全相关的问题. 要完成这项工作, 请使用安全类中的 sanitize_filename() 方法. 下面是一个实例:

`$filename = $this->security->sanitize_filename($this->input->post('filename'));`

如果你允许用户所输入的内容中包含有相对路径，例如 `file/in/some/approved/folder.txt`, 你可以把第二个可选参数 `$relative_path` 设置为TRUE.

`$filename = $this->security->sanitize_filename($this->input->post('filename'), TRUE);`

## 跨站请求伪造(Cross-site request forgery,CSRF)

打开你的 `application/config/config.php` 文件，进行如下设置，即可启用 csrf 保护:

`$config['csrf_protection'] = TRUE;`

如果你使用 表单辅助函数, form_open() 函数将会自动地在你的表单中插入一个隐藏的csrf字段.

翻译贡献者: Hex, yinzhili
最后修改: 2011-02-13 08:21:49