答案是使用htmlspecialchars、htmlentities转义特殊字符，设置正确http响应头，并利用模板引擎自动转义机制防止xss攻击。
如果您在开发PHP网页应用时需要将用户提交的内容显示在页面上，直接输出可能导致跨站脚本攻击（XSS），从而危及用户安全。为了防止恶意脚本被执行，必须对输出内容进行适当的转义处理。以下是几种安全输出用户内容的方法：
一、使用htmlspecialchars函数转义特殊字符
htmlspecialchars函数用于将HTML中的特殊字符转换为对应的HTML实体，从而防止浏览器将其解析为可执行的代码。该函数主要处理&、"、'、这几个字符。
1、调用htmlspecialchars函数，传入用户输入的字符串作为参数。默认情况下，该函数只转义双引号和四个基本字符。
2、若需转义单引号，应显式指定第三个参数为ENT_QUOTES，确保所有引号都被编码。
立即学习“PHP免费学习笔记（深入）”；
3、指定字符编码（如UTF-8）以避免因编码不一致导致的转义失败或乱码问题。
4、示例代码：echo htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8');
二、结合htmlentities进行完整实体编码
htmlentities函数与htmlspecialchars类似，但它会将所有适用于当前字符集的可表示字符转换为HTML实体，适用于更严格的输出场景。
1、当用户输入包含非ASCII字符（如中文标点或特殊符号）时，使用htmlentities可以更全面地进行编码。
动态WEB网站中的PHP和MySQL详细反映实际程序的需求，仔细地探讨外部数据的验证(例如信用卡卡号的格式)、用户登录以及如何使用模板建立网页的标准外观。动态WEB网站中的PHP和MySQL的内容不仅仅是这些。书中还提到如何串联JavaScript与PHP让用户操作时更快、更方便。还有正确处理用户输入错误的方法，让网站看起来更专业。另外还引入大量来自PEAR外挂函数库的强大功能，对常用的、强大的包
2、同样需要指定字符编码和引号风格，避免出现未预期的解析行为。
3、示例代码：echo htmlentities($userInput, ENT_QUOTES, 'UTF-8');
三、设置正确的HTTP响应头增强安全性
即使内容已转义，错误的Content-Type头仍可能影响浏览器解析方式，增加XSS风险。明确声明字符集有助于防止编码混淆攻击。
1、在输出HTML前发送正确的header，例如：header('Content-Type: text/html; charset=UTF-8');
2、确保整个页面从传输到渲染都使用统一的编码标准，减少解码过程中的漏洞利用机会。
四、使用模板引擎自动转义机制
现代PHP模板引擎（如Twig、Blade）提供内置的自动转义功能，在变量输出时默认进行安全处理，降低开发者疏忽带来的风险。
1、配置模板环境启用自动转义选项，使所有变量插值默认经过安全过滤。
2、仅在确认内容可信时使用“原始输出”功能绕过转义，并需手动标记安全来源。
3、示例（Twig）：{{ userContent }} 自动转义，{{ userContent|raw }} 不转义
