xss clean的奇怪行为

Question

以下几行：

var_dump($this->uri->segment(3));
$get = $this->security->xss_clean($this->uri->segment(3));
var_dump($get);

第一个var_dump怎么打印

string(34) "debut=0&combien=30&s=1&telephone=4"

和第二个（xss_clean之后）

string(29) "debut 0&combien=30&s=1&teleph"

我在这里有点困惑。

编辑：

我一直在调试这个，它是_remove_evil_attributes()类中的security函数，它为此进行转换，只有这个字符串

安全级别中的第641行：

$str = preg_replace('/(<?)(\/?[^><]+?)([^A-Za-z<>\-])(.*?)('.implode('|', $attribs).')(.*?)([\s><]?)([><]*)/i', '$1$2 $4$6$7$8', $str, -1, $count);

conciders "one\\=4"（如电话= 4＆＃34;）是一个邪恶的属性。好的，现在它比我大......

Answer 1

嗯，现在这是正常的，因为不再支持codeigniter（至少在时间上），因为它们是seeking new owner for。

所以，我的建议是覆盖Security目录下的core/类。