使用 htmlspecialchars() 转义特殊字符可防止XSS攻击，将 <、>、"、& 转为HTML实体；strip_tags() 可删除HTML标签但不完全安全；需保留安全标签时推荐使用 HTML Purifier 库进行严格过滤；实际开发中应结合 trim()、htmlspecialchars()、strip_tags() 和 HTML Purifier 等多种方法，根据场景选择策略，确保用户输入安全。
在PHP开发中，过滤HTML标签是防止XSS（跨站脚本攻击）的重要手段。用户输入的内容如果未经处理直接输出到页面，可能被恶意注入<script>等标签，从而执行非法脚本。以下是几种常用且有效的过滤HTML标签、防范XSS的方法。</script>
使用 htmlspecialchars() 转义特殊字符
这是最基本也是最常用的防护方式。它不会删除HTML标签，而是将具有潜在危险的字符转换为HTML实体。
- phpcn
- > 转成 >
- " 转成 "
- & 转成 &
示例：
$input = '<script>alert("xss");</script>';
$safe_output = htmlspecialchars($input, ENT_QUOTES, 'UTF-8');
echo $safe_output; // 输出：<script>alert("xss");</script>
这样浏览器会将其当作文本显示，而非执行脚本。
立即学习“PHP免费学习笔记（深入）”；
使用 strip_tags() 删除HTML标签
该函数可以移除字符串中的HTML和PHP标签，适合需要纯文本的场景。
示例：
$input = '<p>Hello</p><div class="aritcle_card flexRow">
<div class="artcardd flexRow">
<a class="aritcle_card_img" href="/ai/2481" title="Tago AI"><img
src="https://img.php.cn/upload/ai_manual/001/246/273/176784238677602.png" alt="Tago AI" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
<div class="aritcle_card_info flexColumn">
<a href="/ai/2481" title="Tago AI">Tago AI</a>
<p>AI生成带货视频，专为电商卖货而生</p>
</div>
<a href="/ai/2481" title="Tago AI" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a>
</div>
</div><script>malicious</script>';
$clean = strip_tags($input);
echo $clean; // 输出：Hello
注意：strip_tags() 并不完全安全，因为它不能处理嵌套或混淆的标签。建议配合其他方法使用。
允许部分HTML标签时使用 HTML Purifier
如果你需要保留一些安全的HTML标签（如文章内容中的、、），推荐使用第三方库 HTMLPurifier。它能智能解析并过滤危险内容，只保留白名单内的标签和属性。
安装方式（推荐使用 Composer）：
composer require ezyang/htmlpurifier
使用示例：
require_once 'vendor/autoload.php';
$config = HTMLPurifier_Config::createDefault();
$purifier = new HTMLPurifier($config);
$clean_html = $purifier->purify('<div><script>alert</script><b>bold</b></div>');
echo $clean_html; // 输出：<div><b>bold</b></div>
HTMLPurifier 是目前最安全、最完整的HTML过滤方案之一。
结合多种方法增强安全性
实际项目中建议组合使用多种策略：
- 用户提交数据时，先用 trim() 去除空格
- 根据用途决定是否允许HTML
- 不允许HTML时用 strip_tags() + htmlspecialchars()
- 允许格式化内容时使用 HTMLPurifier
- 输出到JavaScript上下文时额外使用 json_encode()
基本上就这些。关键是根据业务场景选择合适的方法，不要依赖单一函数处理所有情况。安全无小事，尤其涉及用户输入时，宁可严一点，也不要留漏洞。
