防止xss攻擊的關鍵在于過濾和轉義用戶輸入。1. 使用htmlspecialchars()轉義輸出內容，將特殊字符轉換為html實體，防止腳本執行；2. 在輸入階段使用filter_var()或strip_tags初步過濾，但推薦在輸出時轉義，對富文本使用html purifier清理；3. 設置content-security-policy響應頭限制資源加載來源，阻止內聯腳本執行，作為補充防護手段。所有用戶輸入都必須經過處理后再輸出，確保安全性。
在php開發中，XSS（跨站腳本攻擊）是一個常見的安全問題。如果不對用戶輸入的內容進行處理，攻擊者就可能通過注入惡意腳本，在其他用戶的瀏覽器中執行，從而盜取信息或劫持會話。防止XSS的關鍵在于對所有用戶輸入進行正確過濾和轉義。
1. 使用 htmlspecialchars() 轉義輸出內容
這是最基本也是最常用的方法。當你把用戶提交的內容顯示到頁面上時，應該使用 PHP 內置函數 htmlspecialchars() 對特殊字符進行 HTML 實體轉義。這樣可以防止 <script> 標簽或其他 HTML 元素被瀏覽器解析執行。</script>
例如：
立即學習“PHP免費學習筆記（深入）”；
echo htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');
這個函數會將 、” 等符號轉換為對應的 HTML 實體，比如
注意：一定要根據你輸出的位置選擇合適的轉義方式。比如輸出到 JavaScript 或 css 中時，不能只用 htmlspecialchars()，需要額外的處理。
2. 過濾輸入內容，避免直接存儲惡意代碼
除了輸出時轉義，也可以在接收用戶輸入時做初步過濾。比如使用 filter_var() 函數來清理數據。
例如過濾郵箱：
$email = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL);
或者去除 HTML 標簽：
$user_input = strip_tags($_POST['content']);
但要注意，strip_tags 并不總是安全的，它只是簡單地移除標簽，并不能完全阻止某些復雜構造的 XSS 攻擊。所以更推薦的是在輸出階段進行轉義，而不是依賴輸入過濾。
如果你允許用戶提交富文本內容（如文章編輯器），那就要使用專門的 HTML 清理庫，比如 HTML Purifier，它可以保留指定的 HTML 標簽，同時過濾掉潛在危險的部分。
3. 設置合適的 Content-Security-Policy（CSP）
CSP 是一種 http 響應頭機制，用于限制網頁中資源的加載來源。它可以有效防止內聯腳本的執行，是防御 XSS 的一個強有力手段。
例如設置 CSP 頭：
header("Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted-cdn.com;");
這樣一來，只有來自本網站和指定 CDN 的腳本才能執行，其他任何形式的內聯腳本都會被瀏覽器攔截。
現在很多現代瀏覽器都支持 CSP，啟用它能大大增強網站的安全性。
提示：CSP 是一種“最后一道防線”，雖然不能代替輸入過濾和輸出轉義，但能作為補充手段，提升整體安全性。
基本上就這些方法。XSS 防護不是特別復雜，但容易忽略細節。只要記住一點：任何用戶輸入都不能直接信任，輸出前必須轉義，輸入時盡量過濾。
