为了防止跨站脚本 (xss) 攻击，有以下几个步骤：过滤用户输入，去除危险字符或使用库进行过滤。输出转义，对特殊字符进行转义以防止脚本执行。设置 content-security-policy (csp) 头，限制浏览器加载脚本和样式源。

PHP 代码安全：防范跨站脚本 (XSS) 攻击

跨站脚本 (XSS) 攻击是一种常见且危险的安全漏洞，它允许攻击者在受害者的浏览器中注入恶意脚本。这可能导致敏感信息被盗、页面内容被替换，甚至完全控制受害者的浏览器。

预防 XSS 攻击

输入过滤

过滤用户输入是防止 XSS 攻击的关键。使用正则表达式或库去除脚本标签和其他潜在危险的字符：

// 使用正则表达式去除 `<script>` 标签
$input = preg_replace('/<script>.*?</script>/si', '', $input);

// 使用 HTMLSpecialChars() 转义特殊字符
$input = htm<a style='color:#f60; text-decoration:underline;' href="https://www.php.cn/zt/79544.html" target="_blank">lsp</a>ecialchars($input);

输出转义

在将用户输入输出到页面之前，必须对特殊字符进行转义，以防止脚本执行：

// 使用 htmlentities() 转义输出
echo htmlentities($input);

使用 Content-Security-Policy (CSP) 头

CSP 是一种 HTTP 头，它限制了浏览器可以加载的脚本和样式源。这可以帮助防止 XSS 攻击，因为攻击者无法注入来自不受信任源的脚本：

// 在响应头中设置 CSP
header('Content-Security-Policy: script-src https://example.com');

实战案例

以下是演示如何防范 XSS 攻击的代码示例：

// 获取用户输入
$input = $_GET['input'];

// 过滤用户输入
$input = htmlspecialchars($input);

// 渲染用户输入
echo '<p>' . $input . '</p>';

在上面的示例中，我们使用 htmlspecialchars() 函数对用户输入进行转义，以防止 XSS 攻击。

通过遵循这些最佳实践，您可以帮助保护您的 PHP 代码免受 XSS 攻击。