DedeCMS:CSRF Token Check Failed! 问题说明及解决方案

问题说明：

当使用dede后台进行模板文件编辑的时候，会提示DedeCMS:CSRF Token Check Failed!内容，请注意不是系统BUG而是系统的一种安全防护。

专业名称：CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one click attack/session riding，缩写为：CSRF/XSRF。

问题解决

1、提示内容出现在 /dede/config.php中，在第63行：

0. function csrf_check()
1. {
2. global $token;
4. if(!isset($token) || strcasecmp($token, $_SESSION['token']) != 0){
5. echo '<a href="http://bbs.dedecms.com/907721.html">DedeCMS:CSRF Token Check Failed!</a>';
6. exit;
7. }
8. }

上述代码无需变更

2、代码删除部分，在/dede/tpl.php，在92行

0. else if($action == 'saveedit')
1. {
2. csrf_check(); //删除此验证内容即可 www.lijinlong.cc
3. if($filename == '')
4. {
5. ShowMsg('未指定要编辑的文件或文件名不合法', '-1');
6. exit();
7. }
8. if(!preg_match("#\.htm$#", $filename))
9. {
10. ShowMsg('DEDE模板文件，文件名必须用.htm结尾！', '-1');
11. exit();
12. }
13. $content = stripslashes($content);
14. $content = preg_replace("/##textarea/i", "<textarea", $content);
15. $content = preg_replace("/##\/textarea/i", "</textarea", $content);
16. $content = preg_replace("/##form/i", "<form", $content);
17. $content = preg_replace("/##\/form/i", "</form", $content);
18. $truefile = $templetdird.'/'.$filename;
19. $fp = fopen($truefile, 'w');
20. fwrite($fp, $content);
21. fclose($fp);
22. ShowMsg('成功修改或新建文件', 'templets_main.php?acdir='.$acdir);
23. exit();
24. }

 

友情提醒

为了后台模板的安全性，建议不要删除上述的验证内容，可以直接使用FTP下载模板，修改后二进制上传覆盖源文件