用cursor修复php xss，先找出不可信内容最终进入的页面位置，再按html文本、属性或链接分别处理。下面以留言卡片为例，给出审查操作、完整输出函数与可直接执行的回归测试。
顺着留言展示页定位真实输出点位
用户昵称、评论、搜索词和后台备注都可能进入页面。先在项目副本里找模板与控制器，记下字段从请求、数据库还是外部接口传入，最后落在标签文本、属性、链接或脚本中的哪一种位置。
不要只盯提交表单：存入数据库的留言可能在管理后台再次展示，后台同样需要安全输出。把游客页、个人页和审核页列成验收清单，避免只改公开页面却漏掉管理员看到的内容。
同一段字符在不同上下文里，处理方式并不一样
XSS发生在浏览器把不可信内容当成页面结构或可执行代码解释时。HTML文本需要实体编码，带引号的普通属性还要正确处理引号；链接则必须先限制协议，再进行属性编码。
立即学习“PHP免费学习笔记（深入）”；
把数据在入库时统一转义，会造成重复编码，也无法覆盖脚本和样式上下文。修复点应尽量靠近输出位置，原始业务数据与最终显示结果分开管理。
删除script标签不是完整修复。事件属性、危险链接和客户端DOM操作都可能是另一条路径；需要富文本时，应使用维护中的白名单清洗方案，而不是临时写一个正则表达式。
用Cursor完成漏洞定位、代码修改和效果核验
打开测试项目，进入Agent侧栏，将留言模板、生成页面的控制器和已有测试加入当前任务上下文。先要求列出所有输出位置，暂不修改数据库字段，也不改登录或权限逻辑。
说明页面采用普通HTML还是模板引擎，是否允许用户输入富文本。要求Cursor分别解释文本、属性和URL的修复依据，只修改确认存在风险的输出点。
在修改差异中逐文件检查：正常文字是否保留，属性是否有引号，链接是否拒绝危险协议，模板原有自动转义有没有被重复套用。发现无关重构立即停止并缩小任务范围。
运行下面的独立测试，再把同类用例放进项目测试。最后在浏览器查看普通留言、带引号昵称和被拒绝链接，检查页面结构与控制台，不能只看测试进程退出成功。
审查留言展示页的XSS风险。先列出数据来源和最终输出上下文。 只处理HTML文本、带引号普通属性和HTTP(S)链接；JS、CSS、富文本单独列为待审查。 保留原始存储数据与现有权限，不批量替换所有echo，不关闭模板自动转义。 给出最小差异、完整输出函数和正常文本、引号、危险URL、异常UTF-8回归测试。 执行命令前说明影响，只允许测试目录，不上传密钥或真实用户留言。
完整参考代码：生成不会执行留言内容的卡片组件
把下面给出的代码存为audit.php就行。这个示例不需要启动站点、不用发外部请求，也不会执行留言里夹带的恶意代码，只会校验输出字符规则和链接处理策略，方便你先验证修复思路没问题，再套用到线上真实模板里。
<?php
declare(strict_types=1);
// 本例只输出HTML文本和带引号的普通属性，不适用于JS/CSS上下文。
function escapeHtml(string $value): string {
return htmlspecialchars($value, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8');
}
function safeLink(string $url): string {
if (preg_match('/[\x00-\x20\x7f]/', $url)) {
throw new InvalidArgumentException('Control characters are forbidden');
}
$parts = parse_url($url);
if ($parts === false || !isset($parts['scheme'], $parts['host']) ||
!in_array(strtolower($parts['scheme']), ['https', 'http'], true) ||
isset($parts['user']) || isset($parts['pass']) ||
filter_var($url, FILTER_VALIDATE_URL) === false) {
throw new InvalidArgumentException('An absolute HTTP(S) URL is required');
}
return escapeHtml($url);
}
function card(string $name, string $message, string $url): string {
// 链接地址先验证协议，再按HTML属性编码。
return '<article><h2>' . escapeHtml($name) . '</h2><p>' . escapeHtml($message) .
'</p><a href="' . safeLink($url) . '">Homepage</a></article>';
}
function check(bool $condition, string $name): void {
if (!$condition) { throw new RuntimeException('FAIL: ' . $name); }
echo $name, ': PASS', PHP_EOL;
}
$result = card('Alice', '<img src=x onerror=alert(1)>', 'https://example.com/');
check(!str_contains($result, '<img') && str_contains($result, '<img'), 'text_payload');
check(escapeHtml('" onmouseover="x') === '" onmouseover="x', 'attribute_quotes');
try {
card('Alice', 'Hello', 'javascript:alert(1)');
throw new RuntimeException('FAIL: unsafe URL accepted');
} catch (InvalidArgumentException $e) { echo 'unsafe_url: PASS', PHP_EOL; }
check(str_contains(card('小林', '正常留言', 'https://example.com/?a=1&b=2'), '正常留言'), 'normal_text');
check(str_contains(escapeHtml("\xC3\x28"), "\xEF\xBF\xBD"), 'invalid_utf8');
echo 'Runtime: PHP ', PHP_VERSION, ' / ', PHP_SAPI, PHP_EOL;
php audit.php
本例已在macOS上的PHP 8.5.10 WebAssembly环境执行，五条检查通过。截图只证明此函数的实际输出测试通过，未使用Cursor账号，也没有证明项目中的DOM操作和全部模板均已安全。
普通纯文本留言和富文本留言，别用同一套逻辑处理
| 内容 | 实现方式 | 验收重点 |
|---|---|---|
| 只允许纯文字 | 保留原文，输出时按上下文编码 | 字符显示正常，不生成输入中的标签 |
| 允许加粗、列表等富文本 | 维护中的HTML白名单清洗器 | 标签、属性和协议策略及其依赖更新 |
如果页面通过JavaScript插入评论，优先使用文本节点或安全的文本赋值接口。PHP端的编码函数不能替代客户端上下文审查；也不要把已经编码的HTML继续塞进脚本字符串。
碰到这四类异常场景，记得继续深挖排查
- 页面显示实体字符：检查是否重复编码，或把模板自动转义与手工处理叠加。
- 链接仍能使用危险协议：先验证地址，再进行属性编码，两步都不能省。
- 昵称安全但备注仍异常：逐一核对后台、导出预览和移动端模板，别漏掉二次展示。
- 测试通过但浏览器仍异常：检查DOM写入点、脚本字符串和富文本清洗配置，继续做页面级验收。
提交修复时，附上具体输出点、测试命令和未覆盖范围。内容安全策略可以作为额外防线，但不能用来掩盖尚未修复的输出问题；上线后也要留意正常文本被误伤的反馈。
