必须对用户输入进行输出转义，html内容用htmlspecialchars()、js上下文用json_encode()、url参数用urlencode()，并配合csp等纵深防御措施。
表单提交后直接 echo 用户输入就是高危操作
只要后端 PHP、Node.js 或 Python 模板里出现类似 echo $_GET['name'] 或 {{ request.args.get('q') }} 这种未经处理就插入 HTML 的写法，攻击者填入 <script>alert(1)</script> 就能触发 XSS。这不是“可能”，而是必然执行——浏览器根本不管这串字符是不是来自用户，只认标签结构。
常见错误场景包括：搜索结果页回显关键词、留言提交后的“感谢您的留言：XXX”、登录失败时提示“用户名 admin<img src="x" onerror="alert(1)"> 不存在”。这些地方一旦没做输出编码，就等于给攻击者开了个 `<script>` 入口。</script>
- 别依赖前端 JS 过滤——禁用 JS 后照样生效，且攻击可绕过
- 别只过滤
<script></script>标签——<img onerror="...">、<svg onload="..."></svg>同样危险 - 别在表单提交前用正则删掉尖括号——容易被编码绕过（如
<script>）
htmlentities() 和 htmlspecialchars() 选哪个？
两者都转义 HTML 特殊字符，但行为不同：htmlspecialchars() 只转义 &、"、'、、<code>>；htmlentities() 会把所有可识别的字符（包括中文、符号）全转成实体，比如把 “你好” 变成 你好。
对表单输出来说，htmlspecialchars() 更合适——它保留可读性，又堵住标签注入。而 htmlentities() 在 UTF-8 环境下可能把正常中文变成乱码或不可见字符，尤其当页面未声明 charset=utf-8 时。
- 必须指定
ENT_QUOTES和UTF-8编码：htmlspecialchars($input, ENT_QUOTES, 'UTF-8') - 不要省略第三个参数——默认编码是
ISO-8859-1，会导致中文被截断或乱码 - 如果变量用于 JS 字符串上下文（比如
var msg = "<?php echo $input ?>";），需额外用json_encode()或 JS 端textContent输出
表单值进 JS 变量时，json_encode() 比 htmlspecialchars() 更安全
当后端把表单数据塞进内联脚本，比如：<script>var username = "<?php echo $_POST['name']; ?>"</script>，光用 htmlspecialchars() 不够——攻击者填入 " 或 \ 就能提前闭合字符串，注入任意 JS 代码。
使用 PptxGenJS 和 Python 解析，将结构化的 HTML/CSS 幻灯片内容转换为原生、可编辑的 PowerPoint（.pptx）演示文稿。
正确做法是用 json_encode()（PHP）或等效函数（如 Python 的 json.dumps()），它会自动加引号、转义双引号和反斜杠，并保证输出是合法 JSON 字符串：
var username = <?php echo json_encode($_POST['name'], JSON_UNESCAPED_UNICODE); ?>;
注意：json_encode() 输出不带外层引号，所以 JS 中不能加额外引号包裹；同时要确保输出位置在合法 JS 上下文中（比如不能放在 HTML 属性里直接当值）。
- 避免把用户输入拼进
onclick="doSomething('<?php echo $x ?>')"这类属性中——JS 执行环境更难控制 - 若必须插进 HTML 属性，用
htmlspecialchars()+ 单引号包裹：data-name="<?php echo htmlspecialchars($x, ENT_QUOTES, 'UTF-8') ?>" -
JSON_UNESCAPED_UNICODE参数防止中文被转成 \uXXXX，提升可读性
Content-Security-Policy 头不是补丁，是兜底防线
即使所有输出都做了编码，仍可能因开发疏漏漏掉某处，或者第三方组件引入风险。此时 Content-Security-Policy HTTP 头能阻止内联脚本和未授权域名的资源加载。
对表单场景，最实用的一条是禁用内联脚本：Content-Security-Policy: script-src 'self'。这样即使某处漏转义、渲染出 <script></script>，浏览器也不会执行它。
- 别只设
default-src——明确写script-src，否则可能被其他策略覆盖 - 避免用
'unsafe-inline'或'unsafe-eval'——等于自废武功 - 搭配
form-action 'self'可防止表单被劫持提交到外部地址
真正难的不是加这一行头，而是确认所有 JS 都已外置、所有事件绑定都用 addEventListener 而非 onclick 属性——否则上线就报错。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
