织梦网站避免XSS的方法之一主要是将用户所提供的内容输入输出进行过滤 ,可以利用下面这些

1. 1.将waf.php传到要包含的文件的目录2.在页面中加入防护，有两种做法，根据情况二选一即可：
2. a).在所需要防护的页面加入代码require_once(‘waf.php’);就可以做到页面防注入、跨站如果想整站防注，就在网站的一个公用文件中，如数据库链接文件config.inc.php中！添加require_once(‘waf.php’);来调用本代码常用php系统添加文件PHPCMS V9 \phpcms\base.phpPHPWIND8.7 \data\sql_config.phpDEDECMS5.7 \data\common.inc.phpDiscuzX2   \config\config_global.phpWordpress   \wp-config.phpMetinfo   \include\head.php
3. b).在每个文件最前加上代码在php.ini中找到:Automatically add files before or after any PHP document.auto_prepend_file = waf.php路径;
4. 
5. 
6. 4方案二：       避免XSS的方法之一主要是将用户所提供的内容输入输出进行过滤 ,可以利用下面这些函数对出现xss漏洞的参数进行过滤    PHP的htmlentities()或是htmlspecialchars()。    Python的cgi.escape()。    ASP的Server.HTMLEncode()。    ASP.NET的Server.HtmlEncode()或功能更强的Microsoft Anti-Cross Site Scripting Library    Java的xssprotect(Open Source Library)。    Node.js的node-validator。

一，在后台左侧点击核心-》自定义表单-》增加新的自定义表单，按照提示填写信息，保存出来再点击编辑进去添加字段

二，自定义表单的调用，网上有调用方法，可是测试没成功，我就用自己的方法吧，点击表单的预览-》发布信息，会看到表单的模板，然后鼠标右键查看源代码，找到表单的代码，把关键的代码复制出来，就可以变成前端想要的表单了。

三，一般表单都需要验证字段和防止恶意提交

1）验证字段：

找到项目根目录下的plus/diy.php,在59行有个if(!empty($dede_fields))这个判断里面就可以添加我们验证字段的代码了，示例：

/验证表单字段/

             if ($nickname == '') {  //昵称不能为空

                ShowMsg('昵称不能为空','-1',0,1000);  

           exit;               

             } elseif (!preg_match("/^1[34578]\d{9}$/", $clientele_tell) ){
                ShowMsg('请输入正确的手机号','-1',0,1000);  

           exit;

             } elseif (!is_numeric($clientele_qq) ) {
                ShowMsg('请输入正确的QQ','-1',0,1000);  

           exit;

             } elseif ( empty($message) ) {
                ShowMsg('留言不能为空','-1',0,1000);  

           exit;

             }

2）验证码：

在前端验证码的地方添加代码：

再找到项目根目录下的plus/diy.php，在59行有个if(!empty($dede_fields))这个判断里面添加如下代码：

/添加验证码/

             $validate = empty($validate) ?'' : strtolower(trim($validate));           

             $svali =strtolower(GetCkVdValue());           

             if(($validate=='' || $validate!= $svali) && preg_match("/6/",$safe_gdopen)){                

             ResetVdValue();               

             ShowMsg('验证码不正确!','-1',0,1000);               

             exit;

             }

发现一个问题，在dedecms中自定义表单中字段英文名和系统中新添加的变量的英文名如果是一样的话，就会影响到表单中字段的提交，提交的表单中该字段的值是系统中新添加变量的值。