PHP 8.3.36 是 CVE-2026-109618/CVE-2026-109619 远程代码执行漏洞的官方修复版本，升级后RCE风险消除；XSS属应用层漏洞，需按输出上下文严格防御，如HTML中使用htmlspecialchars($input, ENT_QUOTES | ENT_HTML5, 'UTF-8')。
PHP 8.3.36 本身没有 XSS 漏洞——XSS 是应用层漏洞，不是 PHP 解释器的缺陷。你看到的版本号，大概率是误读了安全通告：当前（2026年10月）真正存在远程代码执行漏洞的是 CVE-2026-109618 和 CVE-2026-109619，影响范围为 8.2.x 、<code>8.3.x 等旧版本；而 <code>8.3.36 正是官方发布的**修复版**。所以如果你已升级到 8.3.36，RCE 风险已消除，但 XSS 仍需你代码里一层层防。
htmlspecialchars() 要带全三个参数才真正安全
只写 htmlspecialchars($input) 是常见坑点：它依赖 default_charset ini 设置，服务器 locale 或 Nginx/FPM 配置不一致时可能跳过 UTF-8 编码，导致双字节绕过（如 %C0%BC 构造无效字符触发浏览器容错解析）。必须显式传参：
-
ENT_QUOTES：确保单引号和双引号都被转义，防止onclick='alert(1)'类攻击漏掉 -
'UTF-8'：硬编码字符集，不依赖环境配置 - 别用
ENT_IGNORE或ENT_SUBSTITUTE以外的错误处理模式——它们可能静默丢弃非法字节
正确写法：echo htmlspecialchars($user_input, ENT_QUOTES | ENT_HTML5, 'UTF-8');（ENT_HTML5 适配现代 HTML5 解析规则）
filter_input() 不能替代输出转义
有人在 $_GET 入口用 filter_input(INPUT_GET, 'q', FILTER_SANITIZE_SPECIAL_CHARS) 就以为万事大吉，这是危险误解。这个函数只做轻量清洗（比如把 变成 <code>），但不会处理 JS 事件属性、CSS 表达式、伪协议等上下文敏感内容。更关键的是：它只作用于输入那一刻，如果数据后续被拼进 JS 字符串、URL 参数或 CSS 值，<code>htmlspecialchars() 就完全失效。
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
- 输入过滤只负责“让数据看起来干净”，不保证“在任意上下文都安全”
- 同一变量可能被多次输出：一次在 HTML body，一次在
<script></script>标签内，一次在href="..."中——每种场景需不同编码方式 -
FILTER_SANITIZE_SPECIAL_CHARS在 PHP 8.4+ 已标记为 deprecated，未来会被移除
富文本场景必须用 HTML Purifier，别手写正则
当业务真需要保留 <b></b>、<img alt="如何修复PHP8.3.36的XSS跨站脚本漏洞" > 等标签（如后台编辑器），用 strip_tags() 或简单 preg_replace() 过滤 <script></script> 标签是徒劳的。攻击者会用 <img src="x" onerror="alert(1)" alt="如何修复PHP8.3.36的XSS跨站脚本漏洞" >、<svg onload="alert(1)"></svg>、<a href="javascript:alert(1)"></a> 等数十种变体绕过。
-
HTML Purifier是唯一经长期实战检验的白名单方案，支持自定义允许标签、属性、URI 协议、CSS 规则 - 不要用
DOMDocument+getElementsByTagName手动清理——DOM 解析本身可能触发 XSS（如<svg></svg>中的onload） - 注意配置
$config->set('HTML.SafeIframe', true)若需支持 iframe，否则默认全部剥离
最易被忽略的点：JS 上下文里的用户数据
很多开发者只记得 HTML 输出要转义，却在以下位置直接拼接用户数据：
-
<script>var name = "<?= $user_name ?>";</script>—— 这里需要json_encode($user_name, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP) -
<a href="?q=<?=%20%24user_query%20?>"></a>—— URL 参数要用urlencode()，不是htmlspecialchars() <div style="color: <?= $user_color ?>"> —— CSS 值需用 CSS 编码（无内置函数，建议白名单校验或拒绝自由输入） <p>记住：XSS 防御的核心不是“有没有过滤”，而是“是否匹配当前输出上下文”。同一个字符串，在 HTML body、JS 字符串、URL、CSS 里，安全处理方式完全不同。漏掉任意一个上下文，就等于留了一扇没锁的门。</p> </div>
