如何配置 Discuz 防止 XSS 跨站脚本攻击漏洞？

Discuz 防止 XSS 攻击主要依靠后台用户组权限设置、配置文件安全开关以及服务器层面的 WAF 规则。管理员应优先关闭用户组 HTML 代码权限，并确认 config 文件中 `$urlxssdefend` 选项已启用。

先说结论：Discuz 的 XSS 防护需要结合后台权限控制与配置文件加固，单一措施无法完全防御。

快速处理思路

Discuz 基于 PHP 开发，不存在单行命令修复 XSS，需通过后台界面和文件编辑配合处理。

后台设置：进入管理中心→用户→用户组，关闭“允许使用 HTML 代码”和“允许签名使用 HTML”。
配置文件：编辑论坛根目录 config/config_global.php 或 config.inc.php，确保 `$urlxssdefend = 1`。
服务器层：在 Nginx 或 Apache 配置中限制异常请求参数，如拦截含 eval 或 script 的查询字符串。

XSS 漏洞产生的根本原因是网站未过滤用户输入的恶意脚本代码并将其输出到页面执行。Discuz 虽然内置了过滤机制，但自定义插件、模板或过高的用户权限可能绕过默认防护。攻击者利用 XSS 可窃取管理员 Cookie 或篡改页面内容，因此必须在输入和输出两个环节同时管控。

按照以下顺序操作可最大程度降低 XSS 风险，每一步操作后建议刷新缓存。

进入后台“用户”→“用户组”→“编辑”，找到“基本权限”选项卡。取消勾选“允许使用 HTML 代码”、“允许签名使用 HTML”以及“允许使用 URL 标签”。普通会员组不应拥有直接写入 HTML 标签的权限，这是防止存储型 XSS 的关键。

通过 FTP 或服务器文件管理器打开论坛根目录下的 config 配置文件。查找 `$urlxssdefend` 变量，确保其值为 1。若存在 `$attackevasive` 变量，可设置为 1|2|4|8 的组合值以开启 Cookie 刷新限制和代理访问限制。修改后保存文件并检查语法错误。

若使用 Nginx，在站点配置中添加规则过滤恶意参数，例如拦截包含 `<script` 或 `javascript:` 的请求。若使用 Apache，在 .htaccess 文件中写入 RewriteRule 禁止特定 User-Agent 或异常查询字符串。此步骤可拦截部分反射型 XSS 攻击。

审查已安装的第三方插件代码，确保没有直接使用 `$_GET` 或 `$_POST` 数据输出到页面而未进行转义。非官方插件可能包含未过滤的查询语句，建议停用来源不明的插件。

完成配置后，使用普通会员账号登录论坛进行测试。