Laravel项目TinyMCE提交被ModSecurity拦截的解决方案求助

问题说明 #

部署到服务器后，提交包含HTML内容的表单时，ModSecurity触发拦截，报错信息如下：

[:error] [pid 982063] [client IP] [client IP] ModSecurity: Access denied with code 403 (phase 2). Match of "eq 0" against "MULTIPART_UNMATCHED_BOUNDARY" required. [file "/etc/modsecurity/modsecurity.conf"] [line "88"] [id "200004"] [msg "Multipart parser detected a possible unmatched boundary."] [hostname "domain.tld"] [uri "/admin/createblog"] [unique_id "ZON9Wu1tOJTfII0SM9EoYAAAAAs"], referer: https://domain.tld/admin/createblog

以下是无需禁用ModSecurity的可行方案：

1. 对TinyMCE内容做Base64编码后提交 #

报错核心是多部分表单的边界匹配异常，可能是编辑器内容包含了和表单边界符类似的字符串。可以通过编码规避：

• 前端TinyMCE初始化时添加提交前处理：

tinymce.init({
  selector: '#your-editor-id',
  setup: function(editor) {
    editor.on('submit', function(e) {
      const encodedContent = btoa(editor.getContent());
      document.getElementById('encoded_content').value = encodedContent;
      editor.getElement().disabled = true;
    });
  }
});

• 后端控制器解码处理：

public function store(Request $request)
{
    $decodedContent = base64_decode($request->input('encoded_content'));
    // 后续验证、存储逻辑
}

2. 给特定路由添加ModSecurity规则例外 #

确认目标路由安全的前提下，针对该路由移除触发拦截的规则，不影响全局安全：

• 在ModSecurity规则配置文件中添加：

SecRule REQUEST_URI "@beginsWith /admin/createblog" "id:100001,phase:2,nolog,allow,ctl:ruleRemoveById=200004"

3. 修改表单编码类型避免多部分解析冲突 #

如果不需要上传文件，将表单enctype改为application/x-www-form-urlencoded，跳过多部分表单解析：

<form method="POST" action="/admin/createblog" enctype="application/x-www-form-urlencoded">
  <!-- 表单内容 -->
</form>

4. 清理HTML内容减少规则触发概率 #

用HTML清理工具过滤编辑器输出的内容，移除特殊字符和潜在风险代码：

• 安装依赖库：

composer require mews/purifier

• 控制器中使用清理逻辑：

use Mews\Purifier\Facades\Purifier;

public function store(Request $request)
{
    $cleanedContent = Purifier::clean($request->input('content'));
    // 存储清理后的内容到数据库
}

内容的提问来源于stack exchange，提问作者Peter