1. 什么是跨站脚本攻击(XSS)
跨站脚本攻击 (Cross-Site Scripting, 简称为XSS) 是一种常见的网络攻击方式，其中攻击者通过在受害者的网页中注入恶意脚本，然后在用户浏览器中执行这些脚本。XSS攻击可以用来窃取用户的敏感信息，例如登录凭证、个人资料等，甚至可以修改网页内容，进行钓鱼等恶意行为。
1.1 储存型XSS和反射型XSS
XSS攻击一般分为两种类型：储存型XSS和反射型XSS。储存型XSS是将恶意脚本存储在服务器端，用户访问包含恶意脚本的页面时，服务器将恶意脚本返回给用户，用户浏览器执行了这些脚本，从而实现攻击目的。反射型XSS是将恶意脚本作为参数传递给服务器，服务器直接将恶意脚本返回给用户，用户浏览器执行了这些脚本。
2. PHP中的跨站脚本攻击
PHP作为一种常用的服务器端编程语言，常常用于开发动态网站。然而，由于PHP对用户数据的输入输出处理不当，导致了各种类型的XSS漏洞的出现。
2.1 输出过滤
为了防止XSS攻击，我们首先需要对输出进行过滤。这可以通过使用特定的函数来实现：
/* 使用htmlspecialchars函数对输出进行过滤 */
<?php
$user_input = $_GET['input']; // 假设用户输入的内容存储在变量$user_input中
$output = htmlspecialchars($user_input);
echo $output; // 输出经过过滤的内容
?>
htmlspecialchars函数会将一些特殊字符转换为HTML实体，例如将"<"转换为"<"、">"转换为">"等。通过使用这个函数，可以避免恶意脚本在用户浏览器中执行。
2.2 输入过滤和验证
除了对输出进行过滤外，还应该对用户输入进行过滤和验证，以确保输入的数据是安全的。以下是一些常见的输入过滤和验证的方法：
对输入进行正则表达式匹配，只允许特定的字符或格式。
限制输入的长度，防止过长的输入导致的溢出攻击。
对输入进行类型检查，例如通过使用is_numeric函数来验证输入是否为一个数字。
使用过滤器函数对输入进行过滤，例如使用filter_var函数来过滤合法的邮箱或URL。
注意： 这些方法只是基本的防御手段，攻击者可能会采取各种手法来绕过这些过滤和验证。因此，除了这些基本的防御措施外，还需要根据具体的业务场景和需求，综合考虑其他安全措施。