是否存在一种万能函数，可以很好地为SQL注入和XSS攻击清除用户输入，同时仍然允许某些类型的HTML标记?
当前回答
只是想添加关于输出转义的主题，如果您使用php DOMDocument使您的html输出，它将在正确的上下文中自动转义。属性(value="")和<span>的内部文本不相等。 为了防止XSS，请阅读以下内容: OWASP跨站防御备忘单
其他回答
不，没有。
首先，SQL注入是一个输入过滤问题，而XSS是一个输出转义问题——因此您甚至不会在代码生命周期中同时执行这两个操作。
基本经验法则
对于SQL查询，绑定参数 使用strip_tags()过滤掉不需要的HTML 使用htmlspecialchars()转义所有其他输出，并注意这里的第2和第3个参数。
PHP过滤器扩展有许多检查外部用户输入所需的功能&它的设计是为了使数据消毒更容易和更快。
PHP过滤器可以轻松地清理和验证外部输入。
PHP 5.2引入了filter_var函数。
它支持大量的SANITIZE, VALIDATE过滤器。
如果你使用的是PostgreSQL, PHP的输入可以用pg_escape_literal()进行转义
$username = pg_escape_literal($_POST['username']);
从文档中可以看到:
pg_escape_literal()转义用于查询PostgreSQL数据库的字面值。它返回PostgreSQL格式的转义文本。
要解决XSS问题，可以看看HTML Purifier。它具有相当的可配置性和良好的记录。
对于SQL注入攻击，解决方案是使用准备好的语句。PDO库和mysqli扩展支持这些功能。
