启用ModSecurity CRSv3后，AJAX提交HTML等代码被拦截的解决咨询

下面是几种不用禁用核心规则就能正常保存编辑器代码的实用方法：

1. Base64编码传输数据 #

把编辑器里的代码转成Base64字符串再提交，完全避开ModSecurity对HTML/JS关键字的检测：

• 前端编码：

const editorContent = $('#your-textarea').val();
const encodedContent = btoa(editorContent);
$.post('save.php', { encoded_data: encodedContent }, function(res) {
  // 处理返回结果
});

• 后端解码：

$encoded = $_POST['encoded_data'];
$rawContent = base64_decode($encoded);
// 把$rawContent存到数据库或文件

2. 给特定请求路径添加ModSecurity规则例外 #

从Apache日志里找出触发的具体规则ID，只给处理保存的PHP脚本跳过这些规则，不要整段禁用规则文件：

<Location "/save.php">
  # 替换成你日志里实际触发的规则ID
  SecRuleRemoveById 921100 921110 941100 941120 941130
</Location>

注意：只给必要的路径加例外，尽量缩小范围，避免降低整体安全性。

3. 给特定参数豁免检测 #

如果提交时用固定参数名（比如editor_content），可以给这个参数单独豁免XSS和协议攻击检测：

SecRule ARGS_NAMES "@streq editor_content" "id:1001,phase:2,nolog,pass,ctl:ruleRemoveById=921000-921999,ctl:ruleRemoveById=941000-941999"

这种方式比整路径豁免更精准，只放宽业务需要的参数检测。

4. 用Raw Body传输数据 #

不使用表单序列化，直接把代码作为JSON或纯文本放在请求body里发送，ModSecurity对raw body的检测规则更宽松：

• 前端发送JSON：

const postData = JSON.stringify({
  html: $('#html-editor').val(),
  css: $('#css-editor').val(),
  js: $('#js-editor').val()
});
$.post({
  url: 'save.php',
  data: postData,
  contentType: 'application/json',
  success: function(res) {
    // 处理响应
  }
});

• 后端读取raw body：

$rawData = file_get_contents('php://input');
$content = json_decode($rawData, true);
// 保存$content里的各部分代码

内容的提问来源于stack exchange，提问作者Jsp