nginx_xss与drizzle+rds_json的正确用法

dayoogad

最初是使用echo_location的方式，但看到nginx_xss的readme，改成了使用lua的ngx.location.capture，但还是不行。


配置摘选：
        location = /get/today {
            xss_get on;
            xss_callback_arg 'c';
            set_local_today $today;
            set $mysql_query "SELECT * FROM xxx WHERE `date` LIKE '${today}%'";
            content_by_lua '
                local res = ngx.location.capture("/mysql", { args = ngx.var.mysql_query })
                if res.status == 200 then
                    ngx.print(res.body)
                end';
        }
            
        location = /mysql {
            internal;
            drizzle_pass backend;
            drizzle_module_header off;
            drizzle_query $query_string;
            rds_json on;
        }

agentzh

Hello!

On Mon, Oct 14, 2013 at 1:52 AM,  <day...@gmail.com> wrote:
> 最初是使用echo_location的方式，但看到nginx_xss的readme，改成了使用lua的ngx.location.capture，但还是不行。
>

1. 你应当具体说明“不行”的现象。简单的“不行”二字无法让我明白你的问题本身。

2. 使用 ngx_xss 时的一个常见的错误是你没有正确配置 xss_input_types 指令。

3. 一般地，你可以启用 nginx 的调试日志获得更多的诊断信息，见 http://nginx.org/en/docs/debugging_log.html

另外，在报告问题时，希望能总是主动提供你使用的相关软件的版本（如果你使用的是 openresty 软件包，提供 openresty 的版本号即可） :)

Best regards,
-agentzh

fivebull

On Tuesday, October 15, 2013 4:44:55 AM UTC+8, agentzh wrote:
> Hello!
> 
> 
> 
> On Mon, Oct 14, 2013 at 1:52 AM,  <day...@gmail.com> wrote:
> 
> > 最初是使用echo_location的方式，但看到nginx_xss的readme，改成了使用lua的ngx.location.capture，但还是不行。
> 
> >
> 
> 
> 
> 1. 你应当具体说明“不行”的现象。简单的“不行”二字无法让我明白你的问题本身。
> 
> 
> 
> 2. 使用 ngx_xss 时的一个常见的错误是你没有正确配置 xss_input_types 指令。
> 
> 
> 
> 3. 一般地，你可以启用 nginx 的调试日志获得更多的诊断信息，见 http://nginx.org/en/docs/debugging_log.html
> 
> 
> 
> 另外，在报告问题时，希望能总是主动提供你使用的相关软件的版本（如果你使用的是 openresty 软件包，提供 openresty 的版本号即可） :)
> 
> 
> 
> Best regards,
> 
> -agentzh

：） 下次会改正。

版本：openresty-1.4.2.8
现象：按照以上配置，访问/get/today只有JSON的输出，但XSS没有生效。

看过info级别 log，没提示关于XSS的任何错误信息。只有：using uninitialized "today" variable 的提示。

agentzh

Hello!

2013/10/14  <fiv...@gmail.com>:
> 版本：openresty-1.4.2.8
> 现象：按照以上配置，访问/get/today只有JSON的输出，但XSS没有生效。
>

检查你的响应的 Content-Type 头。ngx_xss 默认只会对带有 Content-Type: application/json
头的响应作处理。如果你使用其他的 Content-Type 响应头的值，应当配置 xss_input_types
配置指令（我上封邮件已经提到了）。

> 看过info级别 log，没提示关于XSS的任何错误信息。只有：using uninitialized "today" variable 的提示。
>

ngx_xss 的提示信息是 debug 级别的。请按我上封邮件的建议调用 debug 级别的调试日志。注意，启用调试日志，你需要使用
./configure --with-debug 重新编译 openresty，同时在 nginx.conf 里面配置 error_log
logs/error.log debug.

Regards,
-agentzh

fivebull

On Tuesday, October 15, 2013 12:51:42 PM UTC+8, agentzh wrote:
> Hello!
> 
> 
> 
> 2013/10/14  <fiv...@gmail.com>:
> 
> > 版本：openresty-1.4.2.8
> 
> > 现象：按照以上配置，访问/get/today只有JSON的输出，但XSS没有生效。
> 
> >
> 
> 
> 
> 检查你的响应的 Content-Type 头。ngx_xss 默认只会对带有 Content-Type: application/json
> 
> 头的响应作处理。如果你使用其他的 Content-Type 响应头的值，应当配置 xss_input_types
> 
> 配置指令（我上封邮件已经提到了）。
> 
> 
> 
> > 看过info级别 log，没提示关于XSS的任何错误信息。只有：using uninitialized "today" variable 的提示。
> 
> >
> 
> 
> 
> ngx_xss 的提示信息是 debug 级别的。请按我上封邮件的建议调用 debug 级别的调试日志。注意，启用调试日志，你需要使用
> 
> ./configure --with-debug 重新编译 openresty，同时在 nginx.conf 里面配置 error_log
> 
> logs/error.log debug.
> 
> 
> 
> Regards,
> 
> -agentzh

已确认是xss_input_types的问题，需使用text/plain.

疑问的是，rds_json出来的是text/plain？

agentzh

Hello!

2013/10/15 jason:
>
> 已确认是xss_input_types的问题，需使用text/plain.
>
> 疑问的是，rds_json出来的是text/plain？
>

你的这个问题存在逻辑上的错误。实际情况是：

1. ngx_rds_json 模块输出的 Content-Type 响应头是 application/json.  你可以从外部直接访问
location = /mysql 来确认这一点（当然，你需要首先去掉 location = /mysql
中的“internal;”这一行）。

2. 你是在子请求中使用的 ngx_rds_json（对应  location = /mysql ）所以子请求的 Content-Type
是 application/json.

3. 你的 ngx_xss 模块作用于主请求，对应  location = /get/today，而这个 location
里，你分明使用的是 ngx_lua 模块来生成主请求的响应。

4. 子请求的响应头永远不会自动为父请求（在这里也是主请求）所自动继承。

5. ngx_lua 模块默认按照 default_type 配置指令的值生成响应的 Content-Type 响应头。你应当在
nginx.conf 中配置了“default_type text/plain”.

Regards,
-agentzh