除了 stripcslashes，还有哪些 PHP 函数可以防止 XSS 攻击？

为了防止XSS攻击，PHP提供了多种函数和方法来处理和过滤用户输入和输出。以下是一些常用的PHP函数和技巧：

• htmlspecialchars()：
  使用这个函数可以转义HTML特殊字符，防止恶意脚本执行。例如：

   $safeString = htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8');

这样可以将特殊字符转换为HTML实体，从而避免XSS攻击 。

• htmlentities()：
  类似于htmlspecialchars()，但这个函数将所有字符都转换为HTML实体。

   $safeString = htmlentities($userInput, ENT_QUOTES, 'UTF-8');

• strip_tags()：
  去除字符串中所有HTML和PHP标签，只保留文本内容。

   $safeString = strip_tags($userInput);

• stripcslashes()：
  删除字符串中的C语言风格的转义序列。
• addslashes()：
  为字符串中的特殊字符（如单引号、双引号、反斜杠等）添加反斜线，防止SQL注入和XSS攻击。
• 使用正则表达式：
  创建适当的正则表达式来过滤用户输入，移除或转义可能的XSS攻击代码。
• 内容安全策略（CSP）：
  通过设置HTTP头部Content-Security-Policy，限制网页中允许加载的资源，从而防止恶意脚本的执行。
• 设置HTTPOnly Cookie标志：
  使用HTTPOnly标志的Cookie不会被客户端脚本（如JavaScript）访问，这有助于减少XSS攻击的风险。
• 使用安全框架：
  许多现代PHP框架（如Laravel、Symfony等）提供了自己的安全措施来防止XSS攻击。
• 使用外部库：
  使用如HTMLPurifier这样的库来清理HTML内容，移除恶意脚本。
• 输出编码：
  在输出数据到HTML页面时，确保进行适当的编码处理。
• filter_var()：
  使用PHP的过滤函数进行输入验证。
• 自定义过滤函数：
  创建自定义函数来清理和过滤用户输入。
• 避免使用不安全的函数：
  避免使用如eval()、exec()等可能导致代码执行的函数。
• 使用mysqli_real_escape_string()：
  对于数据库查询，使用这个函数来转义字符串，防止SQL注入。
• json_encode()：
  当输出数据为JSON格式时，使用json_encode()来确保数据的安全。
• realpath()：
  使用realpath()函数来清理文件路径，防止目录遍历攻击。
• basename()：
  使用basename()函数来获取文件名，防止路径遍历攻击。
• escapeshellcmd()：
  对命令行参数进行清理，防止命令行注入。
• escapeshellarg()：
  对命令行参数进行清理，防止命令行注入。

使用这些函数和技巧时，应该结合业务需求和安全最佳实践，采取多层次的安全措施来保护网站免受XSS攻击。