防止XSS攻击需在输出时对用户数据进行HTML实体编码，使用htmlspecialchars()并设置ENT_QUOTES和UTF-8；根据HTML、属性、JavaScript、URL等不同上下文采用对应转义方式；结合输入验证、filter_var过滤及HTML Purifier净化富文本；通过CSP、X-XSS-Protection等安全响应头增强防御，核心是始终不信任用户输入，全程实施上下文感知的转义处理。
防止PHP中的XSS（跨站脚本攻击）核心在于对所有用户输入进行严格过滤和输出编码。XSS攻击的本质是攻击者将恶意脚本注入网页，当其他用户浏览时，脚本在浏览器中执行，从而窃取信息或冒充用户操作。防护必须贯穿数据输入、处理和输出全过程。
1. 输出时进行HTML实体编码
这是最基础也是最关键的防护手段。任何动态输出到HTML页面的用户数据都必须经过编码处理。
- 使用 htmlspecialchars() 函数转换特殊字符为HTML实体
- 务必设置正确的参数：建议使用
htmlspecialchars($data, ENT_QUOTES, 'UTF-8') - ENT_QUOTES 确保单引号和双引号都被转义，UTF-8 防止编码混淆漏洞
2. 根据上下文选择合适的转义方式
不同位置的数据需要不同的处理方式，不能一概而论。
- HTML内容中：用 htmlspecialchars() 转义 , ", ', &
- HTML属性内：同样使用 htmlspecialchars()，并确保属性值用引号包围
- JavaScript代码中：使用 json_encode() 包裹数据，或使用专门的JS转义函数
- URL参数中：使用 urlencode() 处理用户数据部分
3. 输入验证与过滤
虽然不能完全依赖输入过滤，但合理的验证能减少风险。
立即学习“PHP免费学习笔记（深入）”；
- 对用户输入的数据类型、格式、长度进行校验
- 使用 filter_var() 函数配合 FILTER_SANITIZE_STRING 或更具体的过滤器
- 对于富文本内容，使用白名单机制的HTML净化库，如 HTML Purifier
4. 启用安全响应头
利用浏览器安全机制作为纵深防御的一环。
- 设置 Content-Security-Policy (CSP) 头，限制脚本来源
- 添加 X-XSS-Protection: 1; mode=block 启用浏览器XSS保护
- 确保 X-Content-Type-Options: nosniff 防止MIME嗅探
基本上就这些。关键是要形成“所有用户数据都是不可信的”思维习惯，在每次输出时都主动转义，结合多层防护策略，就能有效抵御绝大多数XSS攻击。不复杂但容易忽略的是上下文感知的转义处理。
