php 8.5.5 不自带自动 xss 防护，必须手动使用 htmlspecialchars($str, ent_quotes | ent_html5, 'utf-8') 转义输出，且 js 上下文需用 json_encode() 配合 json_hex_tag。
PHP 8.5.5 本身不自带自动 XSS 防护，所有输出仍需开发者手动转义——htmlspecialchars() 是最基础、最不可绕过的防线，漏掉一次就可能被利用。
htmlspecialchars() 必须带三个参数才安全
很多人只写 htmlspecialchars($_GET['q'])，这在 PHP 8.5.5 下依然危险：默认编码是 ISO-8859-1，遇到 UTF-8 中文或 emoji 会出错；不转义单引号，在属性值中可被绕过。
- 必须显式指定第三参数：
htmlspecialchars($str, ENT_QUOTES | ENT_HTML5, 'UTF-8') -
ENT_HTML5确保按 HTML5 规范解析，比如正确处理这类高位 Unicode 实体 - 别用
htmlentities()替代——它会把中文变成你，破坏可读性和 SEO - PHP 8.5.5 对
ENT_HTML5的支持更稳定，但旧写法（如省略编码）仍能运行，只是埋雷
输出到 JavaScript 时 json_encode() 才管用
htmlspecialchars() 不能解决 JS 上下文里的 XSS。比如 var name = "<?php echo $_GET['name']; ?>";，传入 " 或 \ 就能逃逸。
- 正确做法：
var name = <?php echo json_encode($name, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP); ?>; -
JSON_HEX_TAG把变成 <code>\u003c，防<script></script>注入 - 外层 JS 字符串必须用双引号包裹，且不能拼接未编码的变量
- 如果输出到
onclick="doSomething('<?php echo $val; ?>')"这种内联事件里，先用htmlspecialchars()转义再套json_encode()也不保险——应改用 data 属性 + 事件委托
富文本不能靠 strip_tags() 或正则“简单过滤”
用户发带格式的评论、商品描述时，htmlspecialchars() 会吃掉所有标签，strip_tags() 加白名单正则看似简单，实则漏洞百出。
- 攻击者可用
<img src="1" onerror="alert(1)">（混淆大小写或空格）绕过简单正则 - HTMLPurifier 是唯一推荐方案，需 Composer 安装：
composer require ezyang/htmlpurifier - 配置示例：只允许
p、strong、a[href]，且href必须匹配^https?:// - CKEditor/TinyMCE 前端限制完全不可信，后端仍必须独立调用 HTMLPurifier 过滤
HTTP Header 是最后一道兜底防线
即使某处漏了转义，CSP 和响应头也能拦住大部分利用。
- 加这行：
header("Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'");—— 注意：生产环境去掉'unsafe-inline' -
header('X-Content-Type-Options: nosniff');防止浏览器 MIME 类型嗅探误执行脚本 -
header('X-XSS-Protection: 0');—— PHP 8.5.5 已弃用该头，现代浏览器忽略它，不必设 - CSP 的
report-uri或report-to可记录绕过行为，但需配套后端接收端点
真正容易被忽略的是：XSS 触发点永远在输出，不在输入。哪怕数据库里存了 <script>alert(1)</script>，只要每次 echo 前都走对上下文的转义，就绝对安全。PHP 8.5.5 没改变这个铁律，只让底层更稳——但写错一行 echo，照样崩。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
