防止xss攻击的关键在于过滤和转义用户输入。1. 使用htmlspecialchars()转义输出内容，将特殊字符转换为html实体，防止脚本执行；2. 在输入阶段使用filter_var()或strip_tags初步过滤，但推荐在输出时转义，对富文本使用html purifier清理；3. 设置content-security-policy响应头限制资源加载来源，阻止内联脚本执行，作为补充防护手段。所有用户输入都必须经过处理后再输出，确保安全性。
在PHP开发中，XSS（跨站脚本攻击）是一个常见的安全问题。如果不对用户输入的内容进行处理，攻击者就可能通过注入恶意脚本，在其他用户的浏览器中执行，从而盗取信息或劫持会话。防止XSS的关键在于对所有用户输入进行正确过滤和转义。
1. 使用 htmlspecialchars() 转义输出内容
这是最基本也是最常用的方法。当你把用户提交的内容显示到页面上时，应该使用 PHP 内置函数 htmlspecialchars() 对特殊字符进行 HTML 实体转义。这样可以防止 <script> 标签或其他 HTML 元素被浏览器解析执行。
例如：
立即学习“PHP免费学习笔记（深入）”；
echo htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');
这个函数会将 <、>、" 等符号转换为对应的 HTML 实体，比如 < 变成 ，这样即使用户输入了脚本代码，也不会被执行。
注意：一定要根据你输出的位置选择合适的转义方式。比如输出到 JavaScript 或 CSS 中时，不能只用 htmlspecialchars()，需要额外的处理。
2. 过滤输入内容，避免直接存储恶意代码
除了输出时转义，也可以在接收用户输入时做初步过滤。比如使用 filter_var() 函数来清理数据。
例如过滤邮箱：
$email = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL);
或者去除 HTML 标签：
$user_input = strip_tags($_POST['content']);
但要注意，strip_tags 并不总是安全的，它只是简单地移除标签，并不能完全阻止某些复杂构造的 XSS 攻击。所以更推荐的是在输出阶段进行转义，而不是依赖输入过滤。
如果你允许用户提交富文本内容（如文章编辑器），那就要使用专门的 HTML 清理库，比如 HTML Purifier，它可以保留指定的 HTML 标签，同时过滤掉潜在危险的部分。
3. 设置合适的 Content-Security-Policy（CSP）
CSP 是一种 HTTP 响应头机制，用于限制网页中资源的加载来源。它可以有效防止内联脚本的执行，是防御 XSS 的一个强有力手段。
例如设置 CSP 头：
header("Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted-cdn.com;");这样一来，只有来自本网站和指定 CDN 的脚本才能执行，其他任何形式的内联脚本都会被浏览器拦截。
现在很多现代浏览器都支持 CSP，启用它能大大增强网站的安全性。
提示：CSP 是一种“最后一道防线”，虽然不能代替输入过滤和输出转义，但能作为补充手段，提升整体安全性。
基本上就这些方法。XSS 防护不是特别复杂，但容易忽略细节。只要记住一点：任何用户输入都不能直接信任，输出前必须转义，输入时尽量过滤。
