PHP如何防止跨站脚本攻击（XSS）？

跨站脚本攻击（XSS）是一种常见的网络安全漏洞，攻击者通过在网页中注入恶意脚本，从而影响其他用户的浏览体验甚至窃取敏感信息。在PHP中，防止XSS攻击主要有以下几个方法：

1. 数据编码：对用户输入的数据进行编码，确保输出到浏览器之前，所有的特殊字符都被正确转义。PHP中可以使用htmlspecialchars()函数来转义HTML特殊字符，如<, >, &, "和'。例如：

   $user_input = $_GET['input'];
   $safe_input = htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');
   echo $safe_input;
   

2. 内容安全策略（CSP）：通过设置HTTP头部Content-Security-Policy，可以限制网页可以加载和执行的资源。这可以防止恶意脚本的注入和执行。例如：

   header("Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com");
   

3. 使用框架和库：现代PHP框架如Laravel、Symfony等提供了内置的XSS防护机制。这些框架在处理用户输入和输出时自动进行转义和编码，减少了手动编码的需求和错误。

4. 过滤和验证输入：对用户输入进行严格的过滤和验证，确保只接受预期的数据格式。可以使用正则表达式或专门的验证库来检查输入数据。

5. 避免使用eval()等危险函数：在PHP中，避免使用eval()等可能执行任意代码的函数，这些函数如果处理不当，极易被XSS利用。

6. 设置合适的字符编码：确保网页使用正确的字符编码，如UTF-8，这有助于防止字符解析错误导致的XSS漏洞。

通过以上方法，可以有效地在PHP应用中防止XSS攻击，保护用户数据和系统安全。