输入过滤：使用filter_var()验证数据类型，htmlspecialchars()转义特殊字符，限制输入长度与格式；2. 防御XSS：输出时用htmlspecialchars()或htmlentities()转义，配合CSP头限制脚本来源；3. 防护CSRF：表单添加CSRF Token并验证，检查Referer头，敏感操作使用POST+Token。坚持不信任输入、输出转义、关键操作加Token原则可有效防范XSS与CSRF攻击。
在PHP开发中，输入过滤与安全防护是保障Web应用稳定运行的关键环节。尤其面对XSS（跨站脚本）和CSRF（跨站请求伪造）这类常见攻击，合理使用安全函数和过滤机制能有效降低风险。以下是一些实用的防护策略与函数建议。
1. 输入过滤：从源头控制数据安全
所有用户输入都应视为不可信数据。无论来自表单、URL参数还是API请求，必须进行严格过滤与验证。
-
使用 filter_var() 函数：PHP内置的 filter_var 可用于过滤邮箱、URL、整数等常见类型。例如：
$email = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL);
验证时使用：filter_var($email, FILTER_VALIDATE_EMAIL) - 去除危险字符：对字符串输入使用 htmlspecialchars() 转义特殊字符，防止HTML注入。
- 限制输入长度与格式：通过正则表达式或 type hint 控制输入范围，避免异常数据进入系统。
2. 防御XSS：输出时转义与内容安全策略
XSS攻击通过注入恶意脚本在用户浏览器执行，因此关键在于输出时的处理。
-
htmlspecialchars() 是基础：将 zuojiankuohaophpcn, >, ", ' 等转换为HTML实体。
示例：echo htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8'); - 使用 htmlentities() 处理多语言内容：适用于包含非ASCII字符的场景。
-
引入CSP（Content Security Policy）：通过HTTP头限制可执行脚本来源，如：
header("Content-Security-Policy: default-src 'self';");
3. 防护CSRF：令牌机制与请求验证
CSRF利用用户已登录状态发起非自愿请求，需通过验证请求合法性来防御。
立即学习“PHP免费学习笔记（深入）”；
-
使用CSRF Token：在表单中加入一次性令牌，提交时比对session中保存的值。
生成Token示例：$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
表单中：<input type="hidden" name="csrf_token" value="= $_SESSION['csrf_token'] ?>">
提交后验证：if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) { die('非法请求'); } - 检查Referer头：可通过 $_SERVER['HTTP_REFERER'] 判断请求来源是否合法域名。
- 敏感操作使用POST + Token双重验证：避免GET请求执行修改或删除操作。
基本上就这些。只要坚持“不信任任何输入、输出必转义、关键操作加Token”的原则，大多数XSS和CSRF问题都能有效规避。安全防护不是一次性的功能，而是贯穿开发全过程的习惯。
