php反射型xss修复核心是按输出上下文正确编码：html文本用htmlspecialchars，属性值加ent_quotes，js字符串用json_encode，url用urlencode；禁用输入过滤、多次编码和未转义模板输出，并辅以httponly、csp与白名单校验。
PHP 反射型 XSS 的修复核心不是“拦住恶意输入”，而是确保用户数据在输出到 HTML 时，**按所处上下文被正确编码**。输入过滤靠不住，浏览器解析逻辑才决定是否执行脚本——所以重点永远在“怎么安全地显示”。
明确输出位置，选对编码函数
同一段用户输入，插在 HTML 文本、属性值、JavaScript 或 URL 里，编码方式完全不同。不能一招鲜吃遍天。
-
HTML 文本内容（如：
<div>你搜索的是：</div>）：用htmlspecialchars($input, ENT_QUOTES | ENT_HTML5, 'UTF-8')。它把、<code>>、"、'、&转成对应 HTML 实体，让浏览器只当它是文字。 -
HTML 属性值（如：
<input value="xxx">）：同样用htmlspecialchars，但必须带ENT_QUOTES，否则单引号属性（value='xxx'）可能被绕过。 -
JavaScript 字符串内（如：
<script>var kw = "xxx";</script>）：不能用htmlspecialchars。要用 JSON 编码 + JS 字符串转义，推荐json_encode($input, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP)，再包一层单/双引号。 -
URL 参数或 href 值（如：
<a href="?q=xxx"></a>）：用urlencode($input)，不是htmlspecialchars。后者会破坏 URL 格式；前者确保特殊字符不干扰协议解析。
避免常见编码错误
很多修复失败，不是没编码，而是编码用错了地方或时机。
- 不要在输入时做“过滤”或“替换 script 标签”——攻击者可以大小写混写、加空格、用 Unicode 编码绕过。
- 不要对变量多次编码（比如先
htmlspecialchars再htmlentities），会导致显示乱码，反而可能被用来构造新的上下文逃逸。 - 模板中变量输出必须显式编码。即使用了 ThinkPHP、Laravel 等框架，也要确认其默认转义是否启用，且未被
{!! !!}或=$var?>这类“原样输出”语法绕过。
加一层纵深防御，不依赖编码 alone
编码是底线，但不是唯一防线。补上几项低成本配置，能大幅提高攻击门槛。
- 设置 Cookie 时加上
HttpOnly标志，让document.cookie读不到敏感会话凭证。 - 配置 CSP（Content Security Policy）响应头，例如
Content-Security-Policy: default-src 'self'; script-src 'self'，可阻止内联脚本和非法外链执行。 - 对明显不该含 HTML 的参数（如 ID、页码、状态码），在服务端做白名单校验（如正则
/^\d+$/），提前拦截异常输入。
修复后必须人工验证
自动化扫描容易漏掉上下文切换场景。比如一个参数既出现在 <div> 里，又拼进 <code><script></script> 初始化数据中——前者用 htmlspecialchars 安全，后者必须换 json_encode。上线前，用典型 payload（"><script>alert(1)</script>、" onerror=alert(1) x="、javascript:alert(1)）手动测每个反射点的实际渲染结果。
