应采用多层次XSS防护策略：一、用htmlspecialchars转义特殊字符并指定ENT_QUOTES与UTF-8；二、strip_tags移除标签但不处理属性；三、filter_var按类型规范化输入；四、依输出上下文选用对应编码方式；五、富文本必须用HTMLPurifier白名单过滤。
如果用户提交的内容未经处理就直接输出到HTML页面，可能导致恶意脚本执行，从而引发XSS攻击。以下是针对该风险的多种过滤方法：
一、使用htmlspecialchars进行上下文安全转义
htmlspecialchars函数将预定义的特殊字符（如、&、"、'）转换为对应的HTML实体，使浏览器仅将其渲染为文本而非可执行代码，适用于所有需在HTML文本节点或属性值中显示用户数据的场景。
1、调用函数时必须显式指定ENT_QUOTES标志，确保单引号和双引号均被转义。
2、必须传入UTF-8字符编码参数，防止因编码不一致导致的多字节截断绕过。
立即学习“PHP免费学习笔记（深入）”；
3、避免仅使用默认参数调用，例如htmlspecialchars($input)存在单引号未转义风险，应改为htmlspecialchars($input, ENT_QUOTES | ENT_HTML5, 'UTF-8')。
二、使用strip_tags移除HTML与PHP标签
strip_tags函数直接剥离字符串中的HTML和PHP起始与结束标签，适用于明确禁止任何标记的输入字段，如用户名、标题、简介等纯文本内容。
1、对完整输入调用strip_tags($input)，可清除所有标签并保留原始文本内容。
2、若需允许部分安全标签（如<p>、<b>），可传入第二个参数指定白名单，例如strip_tags($input, ' ')
3、注意该函数不处理标签内属性（如onerror、style=expression），因此不可单独用于防御富文本场景下的XSS。
三、结合filter_var进行输入规范化
filter_var函数配合FILTER_SANITIZE_STRING（PHP 8.1前）或FILTER_SANITIZE_SPECIAL_CHARS等过滤器，提供标准化的输入清理机制，适合在数据进入系统初期做初步净化。
1、对非富文本字段，可使用filter_var($input, FILTER_SANITIZE_SPECIAL_CHARS)替代strip_tags，实现更可控的字符级清理。
2、对邮箱、URL、数字等特定类型输入，应选用对应专用过滤器，如FILTER_SANITIZE_EMAIL或FILTER_SANITIZE_NUMBER_INT。
3、避免在PHP 8.1+中继续使用FILTER_SANITIZE_STRING，因其已被废弃且行为不可靠。
四、按输出上下文选择编码方式
不同HTML位置对转义要求不同：在HTML文本节点中适用htmlspecialchars；在JavaScript字符串中需用json_encode()并设置JSON_HEX_TAG、JSON_HEX_AMP等标志；在HTML属性值中须额外包裹引号并双重转义。
1、当输出至<div>内部时，使用htmlspecialchars($value, ENT_QUOTES | ENT_HTML5, 'UTF-8')即可。
2、当插入到<script>标签内的JS变量中，应改用json_encode($value, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP)。
3、当写入HTML属性（如<div title="...">）时，确保属性值被双引号包围，并再次通过htmlspecialchars转义，防止引号逃逸。
五、引入HTMLPurifier处理富文本
对于允许有限HTML格式的场景（如文章正文、评论富文本），strip_tags和htmlspecialchars均无法满足安全需求，必须采用专为富文本设计的过滤库，以白名单方式控制标签、属性及URI协议。
1、安装HTMLPurifier库后，初始化配置对象，明确声明允许的HTML元素（如p、br、strong）和属性（如class、href）。
2、禁用危险属性（如on\*事件处理器、style中的expression）、限制href协议为http/https/mailto。
3、对用户提交的富文本内容调用$purifier->purify($html)，返回经严格验证的洁净HTML。
