PHP防范XSS需分层设防：输出HTML时必用htmlspecialchars(ENT_QUOTES, 'UTF-8')；按上下文选编码（JS用json_encode、URL用urlencode）；启用CSP头；输入端用filter_var验证或HTMLPurifier净化。
PHP中防范XSS漏洞，核心是切断“恶意脚本从输入进入、未经处理就输出到浏览器”的路径。不能只靠某一个函数或配置，得在数据流转的关键节点分层设防。
所有输出到HTML的内容必须转义
这是最直接、最有效的防线。只要用户输入的数据要显示在网页上（比如评论、昵称、搜索关键词），就必须用 htmlspecialchars() 处理：
- 使用 ENT_QUOTES 参数，确保单引号和双引号都被转义
- 明确指定字符编码，如 'UTF-8'，避免编码绕过
- 示例：
echo htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8'); - 注意：不要对已知安全的静态内容重复转义，也不要对JSON API响应直接用这个函数（需改用 json_encode()）
区分上下文，选择对应编码方式
输出位置不同，防护方法也不同。把用户数据插进HTML标签、JS变量、URL参数或CSS里，风险点和编码规则都不一样：
- 插在
<div>...</div>中 → 用 htmlspecialchars() - 插在
<script>var name = "..."</script>中 → 先用 json_encode()，再放进引号内 - 插在
<a href="..."></a>的 href 属性中 → 用 urlencode() 或专门的 URL 编码函数 - 避免把用户数据拼进
<script src="..."></script>或onxxx=事件属性中——这类场景应彻底禁止
启用内容安全策略（CSP）
CSP 是浏览器层面的强制护栏，能从根本上限制哪些脚本可以执行。即使某处漏了转义，CSP 也能拦住外链脚本和内联脚本：
立即学习“PHP免费学习笔记（深入）”；
- 通过 header() 发送 HTTP 头：
header("Content-Security-Policy: default-src 'self'; script-src 'self' https:; object-src 'none';"); - 推荐至少包含 default-src 'self' 和 script-src 'self'
- 开发阶段可先用 Content-Security-Policy-Report-Only 收集违规行为，再逐步收紧
输入验证 + 存储净化双保险
虽然XSS主要在输出端爆发，但提前规范输入能大幅降低风险：
- 用 filter_var() 验证基础类型：邮箱、整数、URL等
- 对富文本类字段（如文章正文），不依赖简单过滤，改用专业库如 HTMLPurifier 白名单清洗
- 数据库中存储前，若确定该字段只用于纯文本展示，可提前调用 htmlspecialchars() 存入（即“输出编码前置”），但要注意避免重复编码
- 禁用 allow_url_include、关闭 display_errors 等PHP配置，减少信息泄露和攻击面
