PHP中XSS防御需结合HTTP安全头部与输出转义，CSP是核心防线，应配置default-src 'self'并避免unsafe-inline；X-XSS-Protection和X-Content-Type-Options作补位；X-Frame-Options防点击劫持，HSTS保传输安全；头部须全局统一设置且验证生效。
PHP环境中的XSS防御不能只靠输出转义，HTTP安全头部是浏览器端的第一道防线。它们由服务器主动下发指令，让浏览器自己限制危险行为，即使代码存在疏漏，也能大幅降低攻击成功率。
Content-Security-Policy（CSP）：资源加载的“门禁系统”
CSP是最有效的XSS缓解机制之一，它明确告诉浏览器哪些脚本、样式、图片等资源可以加载和执行。不设CSP，浏览器默认允许任意内联脚本和外部域资源，极易被注入利用。
- 基础配置用
default-src 'self'，只允许同源资源 - 若需内联脚本（如Vue模板或统计代码），可加
script-src 'self' 'unsafe-inline'，但应尽量避免 - 动态生成的JSON数据建议配合
nonce或hash方式白名单化脚本，而非开放unsafe-inline - 开发阶段可用
Content-Security-Policy-Report-Only头收集违规报告，再逐步收紧策略
X-XSS-Protection与X-Content-Type-Options：补位型防护
这两个头部虽在现代浏览器中逐步弱化（尤其X-XSS-Protection已被Chrome弃用），但在老旧环境或作为纵深防御层仍有价值。
-
X-XSS-Protection: 1; mode=block启用浏览器内置过滤器，并在检测到反射型XSS时直接阻断页面渲染 -
X-Content-Type-Options: nosniff禁止MIME类型嗅探，防止攻击者上传.jpg文件却嵌入JS，诱导浏览器误解析为text/html执行 - 两者都应全局启用，无需条件判断，一行
header()即可生效
X-Frame-Options与Strict-Transport-Security：防关联攻击的关键补充
XSS常与其他攻击组合使用，比如通过点击劫持诱导用户触发恶意操作，或在HTTP明文传输中窃取会话Cookie。
立即学习“PHP免费学习笔记（深入）”；
-
X-Frame-Options: SAMEORIGIN阻止页面被其他域名iframe嵌入，有效防御点击劫持 -
Strict-Transport-Security: max-age=31536000; includeSubDomains强制后续所有请求走HTTPS，杜绝中间人篡改响应头或注入脚本 - 若已部署CDN或反向代理，注意确认这些头部未被意外覆盖或删除
实际部署要点
安全头部应在PHP脚本最开始处设置，最好放在入口文件（如index.php）或全局中间件中，确保所有响应都携带。
- 避免在条件分支里设置——例如仅对登录页加CSP，其余页面不加，会留下缺口
- 使用
header('...', true)可覆盖之前可能已发送的同名头，防止冲突 - 上线前用securityheaders.com扫描验证，重点关注CSP、HSTS、X-Content-Type-Options三项是否生效
- 富文本场景下，CSP无法替代服务端HTML净化（如HTML Purifier），二者必须配合使用
