PHP网站防XSS需对用户输入做HTML实体转义：一、用htmlspecialchars()基础转义，指定ENT_QUOTES和UTF-8；二、htmlentities()全字符转义，加ENT_SUBSTITUTE防编码异常；三、filter_var()预过滤再转义；四、ob_start()输出缓冲自动转义；五、按HTML上下文（属性、JS、CSS、URL）选用对应转义方式。
如果您的PHP网站接收用户输入并将其输出到HTML页面中，而未对输入内容进行HTML实体转义，则可能遭受反射型或存储型XSS攻击。以下是实现HTML实体转义的多种防御方法：
一、使用htmlspecialchars()函数进行基础转义
htmlspecialchars()是PHP内置函数，可将特殊字符转换为对应的HTML实体，防止浏览器将其解析为HTML或JavaScript代码。该函数默认仅转义双引号、单引号、小于号、大于号和与符号，适用于大多数HTML上下文。
1、在输出用户数据前，调用htmlspecialchars()处理变量值。
2、指定ENT_QUOTES标志以同时转义单引号和双引号。
立即学习“PHP免费学习笔记（深入）”；
3、显式设置字符编码为UTF-8，避免因编码不一致导致绕过。
4、示例代码：echo htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');
二、使用htmlentities()函数进行全字符集转义
htmlentities()比htmlspecialchars()覆盖范围更广，会将所有具有HTML实体表示的字符（如中文标点、重音字母等）全部转义。适用于需要严格限制任何非ASCII字符渲染的场景，但需注意可能影响多语言内容的正常显示。
1、确认用户输入来源明确且无需保留原始Unicode字符渲染意图。
2、调用时强制指定字符编码参数，避免依赖默认设置。
3、示例代码：echo htmlentities($user_input, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8');
4、ENT_SUBSTITUTE标志用于替换无效UTF-8字节序列，防止解析中断。
三、结合filter_var()进行预过滤与转义协同
filter_var()配合FILTER_SANITIZE_SPECIAL_CHARS过滤器可在转义前先清理不可见控制字符和潜在危险字节序列，形成双重防护层。该方式不替代输出时的转义，而是作为输入预处理补充手段。
1、对原始输入执行filter_var()处理，清除非法字符。
2、再将结果传入htmlspecialchars()进行最终HTML上下文转义。
3、示例代码：$clean = filter_var($user_input, FILTER_SANITIZE_SPECIAL_CHARS, FILTER_FLAG_NO_ENCODE_QUOTES); echo htmlspecialchars($clean, ENT_QUOTES, 'UTF-8');
四、使用输出缓冲配合自动转义机制
通过ob_start()注册回调函数，在页面输出阶段统一拦截所有echo/print内容，自动应用htmlspecialchars()。该方法可减少开发人员遗漏转义点的风险，适合已有大量未转义输出语句的遗留项目改造。
1、在脚本起始位置启用输出缓冲并注册转义回调。
2、回调函数中对每段输出内容执行htmlspecialchars()处理。
3、示例代码：ob_start(function($buffer) { return htmlspecialchars($buffer, ENT_QUOTES, 'UTF-8'); });
4、确保回调仅作用于HTML响应体，避免干扰JSON、XML等其他Content-Type输出。
五、基于上下文选择转义策略
HTML不同位置（如属性值、JavaScript字符串、CSS样式、URL参数）需采用不同转义规则。仅依赖htmlspecialchars()不足以覆盖所有上下文。当用户输入嵌入到<script>标签内或事件处理器中时，必须切换至专用转义方式。</script>
1、若输出至HTML属性值（如value="..."），使用htmlspecialchars()并设ENT_QUOTES。
2、若输出至内联JavaScript字符串（如var msg = "..."），须改用json_encode()并包裹单引号。
3、示例代码：echo '<script>var msg = ' . json_encode($user_input, JSON_UNESCAPED_UNICODE) . ';</script>';
4、禁止将用户输入直接拼接进JavaScript模板字面量或eval类函数调用中。
