只是想添加关于输出转义的主题，如果您使用php DOMDocument使您的html输出，它将在正确的上下文中自动转义。属性(value="")和<span>的内部文本不相等。 为了防止XSS，请阅读以下内容: OWASP跨站防御备忘单

你从不清理输入。

你总是要清理输出。

你应用到数据的转换，使其能够安全地包含在SQL语句中，完全不同于你在HTML中应用的转换，完全不同于你在Javascript中应用的转换，完全不同于你在LDIF中应用的转换，完全不同于你应用到CSS中的转换，完全不同于你应用到Email....中的转换

务必验证输入——决定您是否应该接受它进行进一步处理，还是告诉用户它是不可接受的。但是不要对数据的表示进行任何更改，直到它离开PHP为止。

很久以前，有人试图发明一种适合所有人的机制来转义数据，我们最终使用了“magic_quotes”，它不能正确地转义所有输出目标的数据，导致不同的安装需要不同的代码才能工作。

避免在清理输入和转义数据时出错的最简单方法是使用Symfony、Nette等PHP框架或该框架的一部分(模板引擎、数据库层、ORM)。

像Twig或Latte这样的模板引擎默认有输出转义-如果你根据上下文(HTML或Javascript部分的网页)正确地转义了你的输出，你不必手动解决。

框架会自动清理输入，你不应该直接使用$_POST， $_GET或$_SESSION变量，而是通过路由，会话处理等机制。

对于数据库(模型)层，有像Doctrine这样的ORM框架或围绕PDO的包装器，如Nette database。

你可以在这里阅读更多关于它的内容-什么是软件框架?

认为用户输入可以过滤是一种常见的误解。PHP甚至有一个(现在已弃用)“特征”，被称为魔术引号，建立在这个想法上。这是无稽之谈。忘记过滤(或清洗，或人们所说的任何东西)。

What you should do, to avoid problems, is quite simple: whenever you embed a a piece of data within a foreign code, you must treat it according to the formatting rules of that code. But you must understand that such rules could be too complicated to try to follow them all manually. For example, in SQL, rules for strings, numbers and identifiers are all different. For your convenience, in most cases there is a dedicated tool for such an embedding. For example, when you need to use a PHP variable in the SQL query, you have to use a prepared statement, that will take care of all the proper formatting/treatment.

另一个例子是HTML:如果你在HTML标记中嵌入字符串，你必须使用htmlspecialchars来转义它。这意味着每个echo或print语句都应该使用htmlspecialchars。

第三个例子可能是shell命令:如果您打算将字符串(如参数)嵌入到外部命令中，并使用exec调用它们，那么您必须使用escapeshellcmd和escapeshellarg。

还有一个非常引人注目的例子是JSON。规则是如此之多和复杂，你永远无法手动遵循它们。这就是为什么你永远不应该手动创建JSON字符串，而总是使用一个专门的函数，json_encode()，它将正确地格式化每一位数据。

诸如此类……

您需要主动过滤数据的唯一情况是，如果您接受预格式化的输入。例如，如果您让用户发布您计划在站点上显示的HTML标记。但是，您应该明智地不惜一切代价避免这种情况，因为无论您如何过滤它，它始终是一个潜在的安全漏洞。

不，没有。

首先，SQL注入是一个输入过滤问题，而XSS是一个输出转义问题——因此您甚至不会在代码生命周期中同时执行这两个操作。

基本经验法则

对于SQL查询，绑定参数 使用strip_tags()过滤掉不需要的HTML 使用htmlspecialchars()转义所有其他输出，并注意这里的第2和第3个参数。

没有万能函数，因为有多个关注点需要解决。

SQL注入——如今，一般来说，每个PHP项目都应该通过PHP数据对象(PDO)使用准备好的语句作为最佳实践，以防止错误引用以及针对注入的全功能解决方案。这也是最灵活和安全的方式来访问您的数据库。

检查(唯一正确的)PDO教程几乎所有你需要知道的关于PDO。(衷心感谢顶级SO贡献者@YourCommonSense，为这个主题提供了很棒的资源。)

XSS -消毒数据的方式…

HTML Purifier has been around a long time and is still actively updated. You can use it to sanitize malicious input, while still allowing a generous & configurable whitelist of tags. Works great with many WYSIWYG editors, but it might be heavy for some use cases. In other instances, where we don't want to accept HTML/Javascript at all, I've found this simple function useful (and has passed multiple audits against XSS): /* Prevent XSS input */ function sanitizeXSS () { $_GET = filter_input_array(INPUT_GET, FILTER_SANITIZE_STRING); $_POST = filter_input_array(INPUT_POST, FILTER_SANITIZE_STRING); $_REQUEST = (array)$_POST + (array)$_GET + (array)$_REQUEST; }

XSS -在输出时消毒数据…除非你保证数据在添加到你的数据库之前被正确地消毒，否则你需要在显示给你的用户之前消毒它，我们可以利用这些有用的PHP函数:

当您调用echo或print来显示用户提供的值时，请使用htmlspecialchars，除非数据已经过适当的安全处理并允许显示HTML。 json_encode是一种从PHP向Javascript提供用户提供值的安全方法

您是否使用exec()或system()函数调用外部shell命令，或使用反勾运算符?如果是这样，除了SQL注入和XSS之外，您可能还需要解决一个额外的问题，即用户在您的服务器上运行恶意命令。如果您想转义整个命令或escapeshellarg来转义单个参数，则需要使用escapeshellcmd。