跨站脚本攻击（Cross-Site Scripting，简称 XSS）是一种常见的安全漏洞，它允许攻击者将恶意脚本注入网页中，当其他用户访问这些页面时，恶意脚本会在用户的浏览器中执行。XSS 攻击可以窃取用户信息、篡改网页内容或进行钓鱼攻击等。在 PHP 4 中，虽然没有内置的高级防护机制，但我们可以通过一些编码实践和函数来有效防范 XSS 攻击。
1. 使用 htmlspecialchars() 函数
htmlspecialchars() 是 PHP 4 中最常用的防止 XSS 攻击的函数之一。它会将特殊字符转换为 HTML 实体，从而防止这些字符被解释为 HTML 或 JavaScript 代码。例如：
$user_input = "alert('XSS')";$safe_output = htmlspecialchars($user_input, ENT_QUOTES);echo $safe_output;在这个例子中，输出结果将是：
<script>alert(‘XSS’)</script>
而不是直接执行 <script> 标签中的 JavaScript 代码。
2. 使用 htmlentities() 函数
htmlentities() 函数与 htmlspecialchars() 类似，但它不仅会转换 HTML 特殊字符，还会将所有适用的字符转换为对应的 HTML 实体。这对于防止 XSS 攻击同样有效。使用 htmlentities() 可以确保即使用户输入了非 ASCII 字符，也不会被浏览器解析为恶意代码：
$user_input = "Hello & Welcome!";$safe_output = htmlentities($user_input, ENT_QUOTES, 'UTF-8');echo $safe_output;这将输出：
Hello & Welcome!
3. 设置 HTTP 头部 Content-Type
确保服务器发送正确的 Content-Type HTTP 头部是防止 XSS 攻击的重要措施之一。通过明确指定响应的内容类型，浏览器可以根据预期的内容类型来解析和渲染页面，避免意外地将文本作为 HTML 或 JavaScript 解析。在 PHP 4 中，可以通过以下方式设置 Content-Type：
header("Content-Type: text/html; charset=UTF-8");这样可以确保浏览器正确解析页面内容，防止因误解析而导致的 XSS 漏洞。
4. 过滤用户输入
除了对输出进行转义外，过滤用户输入也是防止 XSS 攻击的关键步骤。PHP 4 中没有内置的输入过滤库，但我们可以使用正则表达式或其他字符串处理函数来验证和清理用户输入的数据。例如，如果我们只希望接收数字输入，可以使用 preg_replace() 函数：
$user_input = "123abc";$filtered_input = preg_replace("/[^0-9]/", "", $user_input);echo $filtered_input;这将输出：
123
即去除了所有非数字字符。
5. 使用魔术引号（Magic Quotes）
PHP 4 提供了一个名为“魔术引号”（Magic Quotes）的功能，它会在用户输入的数据中自动添加反斜杠来转义某些特殊字符。尽管这个功能在现代 PHP 版本中已经被弃用，但在 PHP 4 中，魔术引号可以帮助减少一些简单的 XSS 攻击风险。依赖魔术引号并不是最佳实践，因为它可能会导致不必要的转义，并且可能会影响应用程序的正常功能。建议手动处理用户输入和输出，而不是依赖魔术引号。
尽管 PHP 4 的安全特性相对有限，但通过合理的编码实践和使用适当的函数，我们仍然可以在一定程度上防止跨站脚本攻击（XSS）。关键在于对用户输入进行严格的验证和过滤，并确保所有输出都经过适当的转义处理。随着 Web 安全问题的日益复杂，开发者应该始终保持警惕，及时更新知识，采用最新的安全标准和技术来保护应用程序免受各种攻击。
