對網站發動XSS攻擊的方式有很多種，僅僅使用php的一些內置過濾函數是對付不了的，即使你將filter_var,mysql_real_escape_string,htmlentities,htmlspecialchars,strip_tags這些函數都使用上了也不一定能保證絕對的安全。
那麼如何預防 XSS 注入？主要還是需要在用戶數據過濾方面得考慮周全，在這裏不完全總結下幾個 Tips
1. 假定所有的用戶輸入數據都是“邪惡”的
2. 弱類型的腳本語言必須保證類型和期望的一致
3. 考慮周全的正則表達式
4. strip_tags、htmlspecialchars 這類函數很好用
5. 外部的 Javascript 不一定就是可靠的
6. 引號過濾必須要重點注意
7. 除去不必要的 HTML 註釋
8. addslashes() 是強行加/；
mysql_real_escape_string() 會判斷字符集，但是對PHP版本有要求；
mysql_escape_string不考慮連接的當前字符集。
例子
php防止XSS跨站腳本攻擊的方法:是針對非法的HTML代碼包括單雙引號等，使用htmlspecialchars()函數 。
在使用htmlspecialchars()函數的時候注意第二個參數, 直接用htmlspecialchars($string) 的話,第二個參數默認是ENT_COMPAT,函數默認只是轉化雙引號(“), 不對單引號(‘)做轉義.
所以,htmlspecialchars函數更多的時候要加上第二個參數, 應該這樣用: htmlspecialchars($string,ENT_QUOTES).當然,如果需要不轉化如何的引號,用htmlspecialchars($string,ENT_NOQUOTES).
另外, 儘量少用htmlentities, 在全部英文的時候htmlentities和htmlspecialchars沒有區別,都可以達到目的.但是,中文情況下, htmlentities卻會轉化所有的html代碼，連同裏面的它無法識別的中文字符也給轉化了。
htmlentities和htmlspecialchars這兩個函數對 '之類的字符串支持不好,都不能轉化, 所以用htmlentities和htmlspecialchars轉化的字符串只能防止XSS攻擊,不能防止SQL注入攻擊.
所有有打印的語句如echo，print等 在打印前都要使用htmlentities() 進行過濾，這樣可以防止Xss，注意中文要寫出htmlentities($name,ENT_NOQUOTES,GB2312) 。
方法二
許多數據庫本身就提供這種輸入數據處理功能。例如PHP的MySQL操作函數中有addslashes()、 mysql_real_escape_string()、mysql_escape_string()等函數，可將
特殊字符和可能引起數據庫操作出錯的字 符轉義。那麼這三個功能函數之間有什麼卻別呢？下面我們就來詳細講述下。
雖然國內很多PHP程序員仍在依靠addslashes防止SQL注入，還是建議大家加強中文防止SQL注入的檢查。addslashes的問題在 於黑客 可以用0xbf27來代替單引號，
而addslashes只是將0xbf27修改爲0xbf5c27，成爲一個有效的多字節字符，其中的0xbf5c仍會 被看作是單引號，所以addslashes無法成功攔截。
當然addslashes也不是毫無用處，它是用於單字節字符串的處理，多字節字符還是用mysql_real_escape_string吧。
另外對於php手冊中get_magic_quotes_gpc的舉例：
if (!get_magic_quotes_gpc()) {
$lastname = addslashes($_POST[‘lastname’]);
} else {
$lastname = $_POST[‘lastname’];
}
最好對magic_quotes_gpc已經開放的情況下，還是對$_POST[’lastname’]進行檢查一下。
再說下mysql_real_escape_string和mysql_escape_string這2個函數的區別：
mysql_real_escape_string 必須在(PHP 4 >= 4.3.0, PHP 5)的情況下才能使用。否則只能用 mysql_escape_string ，兩者的區別是：
mysql_real_escape_string 考慮到連接的當前字符集，而mysql_escape_string 不考慮。