オフラインになるSOドキュメントのベータ版からの統合参照としてこれをクロスポストします。
問題
クロスサイトスクリプティングは、Webクライアントによるリモートコードの意図しない実行です。Webアプリケーションは、ユーザーから入力を受け取り、Webページに直接出力する場合、XSSに公開される可能性があります。入力にHTMLまたはJavaScriptが含まれている場合、このコンテンツがWebクライアントによってレンダリングされるときにリモートコードを実行できます。
たとえば、サードパーティ側にJavaScriptファイルが含まれている場合：
// http://example.com/runme.js
document.write("I'm running");
そしてPHPアプリケーションはそれに渡された文字列を直接出力します：
<?php
echo '<div>' . $_GET['input'] . '</div>';
チェックされていないGETパラメータが含まれている場合、<script src="http://example.com/runme.js"></script>PHPスクリプトの出力は次のようになります。
<div><script src="http://example.com/runme.js"></script></div>
サードパーティのJavaScriptが実行され、ユーザーにはWebページに「実行中」と表示されます。
解決
一般的なルールとして、クライアントからの入力を信頼しないでください。すべてのGET、POST、およびCookieの値は何でもかまいません。したがって、検証する必要があります。これらの値のいずれかを出力するときは、それらをエスケープして、予期しない方法で評価されないようにします。
最も単純なアプリケーションであっても、データを移動することができ、すべてのソースを追跡することは難しいことに注意してください。したがって、常に出力をエスケープすることをお勧めします。
PHPは、コンテキストに応じて出力をエスケープするいくつかの方法を提供します。
フィルター機能
PHPフィルター関数を使用すると、phpスクリプトへの入力データをさまざまな方法でサニタイズまたは検証できます。クライアント入力を保存または出力するときに役立ちます。
HTMLエンコーディング
htmlspecialchars「HTML特殊文字」をHTMLエンコーディングに変換します。つまり、標準のHTMLとして処理されません。この方法を使用して前の例を修正するには：
<?php
echo '<div>' . htmlspecialchars($_GET['input']) . '</div>';
// or
echo '<div>' . filter_input(INPUT_GET, 'input', FILTER_SANITIZE_SPECIAL_CHARS) . '</div>';
出力されます：
<div><script src="http://example.com/runme.js"></script></div>
内部のすべて<div>のタグはなりませんが、代わりに、単純なテキストノードとして、ブラウザでJavaScriptタグとして解釈します。ユーザーには安全に表示されます：
<script src="http://example.com/runme.js"></script>
URLエンコーディング
動的に生成されたURLを出力する場合、PHPはurlencode有効なURLを安全に出力する機能を提供します。したがって、たとえば、ユーザーが別のGETパラメータの一部になるデータを入力できる場合は、次のようになります。
<?php
$input = urlencode($_GET['input']);
// or
$input = filter_input(INPUT_GET, 'input', FILTER_SANITIZE_URL);
echo '<a href="http://example.com/page?input="' . $input . '">Link</a>';
悪意のある入力はすべて、エンコードされたURLパラメータに変換されます。
専用の外部ライブラリまたはOWASP AntiSamyリストの使用
HTMLやその他の種類のコード入力を送信したい場合があります。許可された単語（ホワイトリスト）と許可されていない単語（ブラックリスト）のリストを保持する必要があります。
OWASP AntiSamy Webサイトから入手できる標準リストをダウンロードできます。各リストは、特定の種類の相互作用（ebay api、tinyMCEなど）に適しています。そして、それはオープンソースです。
HTMLをフィルタリングし、一般的なケースのXSS攻撃を防ぎ、少なくとも非常に使いやすいAntiSamyリストと同様に実行するライブラリが存在します。たとえば、HTML Purifierがあります。