你从不清理输入。

你总是要清理输出。

你应用到数据的转换，使其能够安全地包含在SQL语句中，完全不同于你在HTML中应用的转换，完全不同于你在Javascript中应用的转换，完全不同于你在LDIF中应用的转换，完全不同于你应用到CSS中的转换，完全不同于你应用到Email....中的转换

务必验证输入——决定您是否应该接受它进行进一步处理，还是告诉用户它是不可接受的。但是不要对数据的表示进行任何更改，直到它离开PHP为止。

很久以前，有人试图发明一种适合所有人的机制来转义数据，我们最终使用了“magic_quotes”，它不能正确地转义所有输出目标的数据，导致不同的安装需要不同的代码才能工作。

你从不清理输入。

你总是要清理输出。

你应用到数据的转换，使其能够安全地包含在SQL语句中，完全不同于你在HTML中应用的转换，完全不同于你在Javascript中应用的转换，完全不同于你在LDIF中应用的转换，完全不同于你应用到CSS中的转换，完全不同于你应用到Email....中的转换

务必验证输入——决定您是否应该接受它进行进一步处理，还是告诉用户它是不可接受的。但是不要对数据的表示进行任何更改，直到它离开PHP为止。

很久以前，有人试图发明一种适合所有人的机制来转义数据，我们最终使用了“magic_quotes”，它不能正确地转义所有输出目标的数据，导致不同的安装需要不同的代码才能工作。

你所描述的是两个独立的问题:

消毒/过滤用户输入数据。 转义输出。

1)用户输入应该总是被认为是糟糕的。

使用准备语句，或/和使用mysql_real_escape_string进行过滤绝对是必须的。 PHP还内置了filter_input，这是一个很好的开始。

2)这是一个很大的主题，它取决于输出数据的上下文。对于HTML，有一些解决方案，比如htmlpurifier。 作为经验法则，总是对输出的任何内容进行转义。

这两个问题都太大了，无法在一篇文章中详细讨论，但有很多文章会更详细地介绍:

PHP输出

更安全的PHP输出

不，没有。

首先，SQL注入是一个输入过滤问题，而XSS是一个输出转义问题——因此您甚至不会在代码生命周期中同时执行这两个操作。

基本经验法则

对于SQL查询，绑定参数 使用strip_tags()过滤掉不需要的HTML 使用htmlspecialchars()转义所有其他输出，并注意这里的第2和第3个参数。

PHP 5.2引入了filter_var函数。

它支持大量的SANITIZE, VALIDATE过滤器。

有一个技巧可以帮助您在特定情况下使用/mypage?id=53，在WHERE子句中使用id是为了确保id确实是一个整数，如下所示:

if (isset($_GET['id'])) {
  $id = $_GET['id'];
  settype($id, 'integer');
  $result = mysql_query("SELECT * FROM mytable WHERE id = '$id'");
  # now use the result
}

但当然，这只排除了一个特定的攻击，所以阅读所有其他的答案。(是的，我知道上面的代码不是很好，但它显示了具体的防御。)