PHP框架XSS审计必须直击上下文错配等真实高危场景：第一步定位所有输出点（含JSON响应），确认是否来自用户输入；第二步按HTML、JS、富文本上下文分别验证转义方式，如htmlspecialchars需带ENT_QUOTES参数、JS字符串须用json_encode、富文本须用HTMLPurifier白名单；第三步通过onfocus注入、img onerror、URL参数及JSON接口测试绕过。
要让PHP框架审计中的XSS漏洞识别与修复教程真正具备工程落地能力，必须跳过“加个htmlspecialchars就安全了”这类错误认知，直击输出上下文错配、富文本白名单失控、JS字符串注入绕过等真实高危场景。
第一步：定位所有输出点，不是找echo，而是找“数据流向浏览器的出口”
打开项目全部模板文件（.blade.php、.phtml、.twig）、控制器返回视图的语句、AJAX响应构造逻辑，用grep -r 'echo\|print\|return.*view\|->with\|json_encode' ./app ./resources 逐行扫描；【漏掉JSON响应里的echo或response()->json()调用，等于主动放弃JS上下文防护】
对每个匹配结果，人工确认该变量是否来自用户输入（$_GET、$_POST、数据库读取、缓存反序列化值）；若来源不可信，标记为待审计输出点。
特别注意Laravel中{{ $user_input }}这种Blade语法——它默认转义HTML，但一旦写成{!! $user_input !!}或使用v-html绑定，就完全绕过防护。
立即学习“PHP免费学习笔记（深入）”；
第二步：按上下文分类验证转义方式是否严格匹配
方法一：HTML文本/属性上下文
检查所有echo、print、Blade双大括号输出是否显式调用：htmlspecialchars($str, ENT_QUOTES | ENT_HTML5, 'UTF-8')；【禁用无参htmlspecialchars($str)——它不转义单引号，value='onerror=alert(1)'可直接触发】
方法二：JavaScript字符串上下文
找到
