如何仅使用HTML和PHP来阻止XSS（跨站点脚本）？
我已经看过很多关于这个主题的帖子，但我还没有找到一篇清晰简明地说明如何实际防止XSS的文章。
基本上，只要您想要将某些内容输出到来自用户输入的浏览器，您就需要使用htmlspecialchars()函数。
使用此函数的正确方法是这样的：
echo htmlspecialchars($string, ENT_QUOTES, 'UTF-8');
Google Code University也有关于网络安全的这些非常有教育意义的视频：
我最喜欢的OWASP参考之一是Cross-Site Scripting的解释，因为虽然有大量的XSS攻击向量，但以下的一些规则可以大大防御它们中的大多数！
按优先顺序排列：
{{ var|e('html_attr') }}htmlentities($var, ENT_QUOTES | ENT_HTML5, $charset)并确保文档的其余部分使用与$charset相同的字符集。在大多数情况下，'UTF-8'是所需的字符集。另外，请确保你escape on output, not on input。
将此作为SO文档测试版中的合并参考进行交叉发布，该测试将脱机。
跨站点脚本是Web客户端意外执行远程代码。如果任何Web应用程序从用户获取输入并直接在网页上输出，则可能会将自身暴露给XSS。如果输入包括HTML或JavaScript，则当Web客户端呈现此内容时，可以执行远程代码。
例如，如果第三方包含JavaScript文件：
// http://example.com/runme.js
document.write("I'm running");
PHP应用程序直接输出传递给它的字符串：
<?php
echo '<div>' . $_GET['input'] . '</div>';
如果未经检查的GET参数包含<script src="http://example.com/runme.js"></script>，则PHP脚本的输出将为：
<div><script src="http://example.com/runme.js"></script></div>
第三方JavaScript将运行，用户将在网页上看到“我正在运行”。
作为一般规则，永远不要相信来自客户的输入。每个GET，POST和cookie值都可以是任何值，因此应该进行验证。输出任何这些值时，请将它们转义，以便不会以意外方式对它们进行求值。
请记住，即使在最简单的应用程序中，数据也可以移动，并且很难跟踪所有来源。因此，始终逃避输出是最佳做法。
PHP根据上下文提供了一些转义输出的方法。
PHPs Filter Functions允许php脚本的输入数据为sanitized中的validated或many ways。它们在保存或输出客户端输入时很有用。
htmlspecialchars会将任何“HTML特殊字符”转换为HTML编码，这意味着它们不会被处理为标准HTML。要使用此方法修复上一个示例：
<?php
echo '<div>' . htmlspecialchars($_GET['input']) . '</div>';
// or
echo '<div>' . filter_input(INPUT_GET, 'input', FILTER_SANITIZE_SPECIAL_CHARS) . '</div>';
输出：
<div><script src="http://example.com/runme.js"></script></div>
<div>标记内的所有内容都不会被浏览器解释为JavaScript标记，而是作为简单的文本节点。用户将安全地看到：
<script src="http://example.com/runme.js"></script>
在输出动态生成的URL时，PHP提供urlencode函数以安全地输出有效的URL。因此，例如，如果用户能够输入成为另一个GET参数的一部分的数据：
<?php
$input = urlencode($_GET['input']);
// or
$input = filter_input(INPUT_GET, 'input', FILTER_SANITIZE_URL);
echo '<a href="http://example.com/page?input="' . $input . '">Link</a>';
任何恶意输入都将转换为编码的URL参数。
有时您会想要发送HTML或其他类型的代码输入。您需要维护授权单词列表（白名单）和未授权单词（黑名单）。
您可以在OWASP AntiSamy website下载标准列表。每个列表适合特定类型的交互（ebay api，tinyMCE等...）。它是开源的。
现有的库可以过滤HTML并防止针对一般情况的XSS攻击，并且至少与AntiSamy列表一样易于使用。例如，你有HTML Purifier
许多框架以各种方式帮助处理XSS。当你自己滚动或者有一些XSS问题时，我们可以利用filter_input_array（在PHP 5> = 5.2.0，PHP 7中可用）。我通常会将这个片段添加到我的SessionController中，因为所有调用都会在任何其他控制器之前通过与数据交互。以这种方式，所有用户输入在1个中心位置被消毒。如果这是在项目开始时或数据库中毒之前完成的，那么在输出时你不应该有任何问题...停止垃圾进入，垃圾进出。
/* Prevent XSS input */
$_GET = filter_input_array(INPUT_GET, FILTER_SANITIZE_STRING);
$_POST = filter_input_array(INPUT_POST, FILTER_SANITIZE_STRING);
/* I prefer not to use $_REQUEST...but for those who do: */
$_REQUEST = (array)$_POST + (array)$_GET + (array)$_REQUEST;
以上将删除所有HTML和脚本标记。如果您需要一个允许安全标签的解决方案，基于白名单，请查看HTML Purifier。
如果您的数据库已经中毒或者您想在输出时处理XSS，OWASP建议为echo创建自定义包装函数，并使用它在任何地方输出用户提供的值：
//xss mitigation functions
function xssafe($data,$encoding='UTF-8')
{
return htmlspecialchars($data,ENT_QUOTES | ENT_HTML401,$encoding);
}
function xecho($data)
{
echo xssafe($data);
}
<?php
function xss_clean($data)
{
// Fix &entity\n;
$data = str_replace(array('&','<','>'), array('&amp;','&lt;','&gt;'), $data);
$data = preg_replace('/(&#*\w+)[\x00-\x20]+;/u', '$1;', $data);
$data = preg_replace('/(&#x*[0-9A-F]+);*/iu', '$1;', $data);
$data = html_entity_decode($data, ENT_COMPAT, 'UTF-8');
// Remove any attribute starting with "on" or xmlns
$data = preg_replace('#(<[^>]+?[\x00-\x20"\'])(?:on|xmlns)[^>]*+>#iu', '$1>', $data);
// Remove javascript: and vbscript: protocols
$data = preg_replace('#([a-z]*)[\x00-\x20]*=[\x00-\x20]*([`\'"]*)[\x00-\x20]*j[\x00-\x20]*a[\x00-\x20]*v[\x00-\x20]*a[\x00-\x20]*s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:#iu', '$1=$2nojavascript...', $data);
$data = preg_replace('#([a-z]*)[\x00-\x20]*=([\'"]*)[\x00-\x20]*v[\x00-\x20]*b[\x00-\x20]*s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:#iu', '$1=$2novbscript...', $data);
$data = preg_replace('#([a-z]*)[\x00-\x20]*=([\'"]*)[\x00-\x20]*-moz-binding[\x00-\x20]*:#u', '$1=$2nomozbinding...', $data);
// Only works in IE: <span style="width: expression(alert('Ping!'));"></span>
$data = preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?expression[\x00-\x20]*\([^>]*+>#i', '$1>', $data);
$data = preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?behaviour[\x00-\x20]*\([^>]*+>#i', '$1>', $data);
$data = preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:*[^>]*+>#iu', '$1>', $data);
// Remove namespaced elements (we do not need them)
$data = preg_replace('#</*\w+:\w[^>]*+>#i', '', $data);
do
{
// Remove really unwanted tags
$old_data = $data;
$data = preg_replace('#</*(?:applet|b(?:ase|gsound|link)|embed|frame(?:set)?|i(?:frame|layer)|l(?:ayer|ink)|meta|object|s(?:cript|tyle)|title|xml)[^>]*+>#i', '', $data);
}
while ($old_data !== $data);
// we are done...
return $data;
}
您还可以通过header(...)设置一些与XSS相关的HTTP响应头
X-XSS-Protection“1; mode = block”
可以肯定的是，浏览器XSS保护模式已启用。
Content-Security-Policy“default-src'self'; ...”
启用浏览器端内容安全性。有关内容安全策略（CSP）的详细信息，请参阅此内容：http://content-security-policy.com/特别设置CSP以阻止内联脚本和外部脚本源对XSS有帮助。
有关Webapp安全性的一堆有用的HTTP响应标题，请查看OWASP：https://www.owasp.org/index.php/List_of_useful_HTTP_headers
在htmlspecialchars上使用PHP。在HTML上尽量避免使用：
element.innerHTML = “…”;
element.outerHTML = “…”;
document.write(…);
document.writeln(…);
其中var由用户控制。
显然也试着避免使用eval(var)，如果你必须使用它们中的任何一个然后尝试JS转义它们，HTML转义它们你可能不得不做更多但是对于基础知识这应该就足够了。