用户评论直接输出就是XSS漏洞：转义一个函数，挡90%攻击

新手做留言板、评论功能，用户提交的内容直接输出到页面，结果别人提交一段脚本，网站就被挂黑链、偷用户cookie，这就是XSS漏洞，今天说最简单的防法。

输出前转义

用户提交的内容，输出到HTML页面之前，用htmlspecialchars函数把特殊字符转义，< >这些标签都转成普通文本，脚本就执行不了，XSS就挡掉了。

别直接输出用户内容

不管是用户留言、评论、昵称，只要是用户输入的内容，输出前全转义，别直接echo出来，这一个函数就能防90%的XSS漏洞。

别过滤太狠

不用自己写正则过滤所有内容，用PHP官方的转义函数，安全可靠，新手别自己造轮子。