xss能否触发取决于用户数据最终如何被放进html，而非其入库前形态；所有输出到html的地方都必须用htmlspecialchars()，尤其变量出现在html标签内容时。
别学“怎么过滤输入”，先盯住 echo 那一行——XSS 能否触发，只取决于用户数据**最终怎么被放进 HTML**，而不是它进数据库前长什么样。
所有输出到 HTML 的地方都必须用 htmlspecialchars()
这是最常漏、也最不该漏的一环。只要变量会出现在 HTML 标签内容里（比如 <div><?php echo $user_name; ?></div>），就必须加 htmlspecialchars()，且参数不能省：
-
htmlspecialchars($str, ENT_QUOTES | ENT_HTML5, 'UTF-8')是安全底线：ENT_QUOTES确保单双引号都被转义，UTF-8显式声明编码，避免浏览器误判 - 别用
htmlentities()替代——它会把中文、emoji 全部转成实体，破坏可读性 - 别依赖模板引擎的自动转义：Laravel Blade 的
{{ $content }}是安全的，但一旦写成{{!! $content !!}}或 Twig 的{{ content|raw }}，就等于亲手关掉防护 - 别在入库前对整个
$_POST递归调用htmlspecialchars()：ID、时间戳、布尔值根本不会进 HTML，白费 CPU，还污染原始数据
json_encode() 才是内联 <script></script> 里的唯一解
当你要把 PHP 变量塞进 JS 字符串里，比如 <script>var msg = "<?php echo $user_input; ?>";</script>，htmlspecialchars() 完全无效。浏览器解析的是 JS 语法，不是 HTML。
- 必须改写为：
<script>var msg = <?php echo json_encode($user_input, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT); ?>;</script> -
JSON_UNESCAPED_UNICODE可选，但JSON_HEX_*系列标志不能少——它们把、<code>&、'、"编码成十六进制形式，防绕过 - 别用
addslashes()或拼接字符串：它不处理 Unicode 边界、不防\u003cscript\u003e这类编码绕过
富文本不能靠 htmlspecialchars()，得用白名单净化
论坛、商品描述、后台编辑器这类场景，用户要发 <strong></strong>、<a href="..."></a>，但你又不能放行 <script></script> 或 onerror=。这时候 htmlspecialchars() 直接把所有标签干掉，体验崩坏。
- 必须引入
HTMLPurifier（Composer 安装），配置严格白名单，例如只允许p、strong、a[href]、img[src,alt] - 别手写正则删
<script></script>：正则无法正确解析嵌套、注释、编码变体，<scr>ipt></scr>就能绕过 - 别用
strip_tags()+htmlspecialchars()组合：它不清除属性里的 JS 事件（如<img onerror="alert(1)">），反而制造假安全感
HTTP 响应头不是可选项，是最后一道保险
即使某处漏了转义，CSP 和 HttpOnly Cookie 能大幅提高攻击门槛。
-
header("Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline';");—— 禁止外域脚本，限制内联脚本执行条件 -
setcookie('session_id', $val, ['httponly' => true, 'secure' => true, 'samesite' => 'Strict']);—— 阻断 JS 读取敏感 Cookie -
header("X-Content-Type-Options: nosniff");—— 防止浏览器把text/plain当 JS 执行 - CSP 的
'unsafe-inline'不是鼓励写内联 JS，而是给现有代码留迁移时间；长期目标应是剥离所有内联事件和脚本
真正难的不是记函数名，而是每次写 echo 时下意识问一句：“这串字符接下来会出现在 HTML 的哪个位置？”——文本？属性？JS 字符串？URL？CSS？答案不同，函数就不同。漏掉这个判断，再多防护都形同虚设。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
