要防止XSS（跨站腳本攻擊）攻擊，可以遵循以下幾個步驟：
輸入過濾：對用戶輸入的數據進行過濾和驗證，可以使用PHP函數如htmlspecialchars來轉義特殊字符，或使用正則表達式匹配特定的輸入格式，以確保輸入的數據不包含任何惡意的腳本標簽。
輸出編碼：在將數據輸出到HTML頁面時，使用合適的編碼方式，如htmlspecialchars函數，將特殊字符轉義為HTML實體，以防止惡意腳本被執行。
內容安全策略（Content Security Policy，CSP）：使用CSP來限制網頁中可執行的腳本源，只允許從指定的域名加載腳本文件，防止惡意腳本的注入。可以通過設置HTTP頭或添加<meta>標簽來啟用CSP。
驗證用戶輸入：在處理用戶輸入數據之前，進行嚴格的輸入驗證，如驗證輸入的內容是否符合預期的格式和長度，拒絕非法的輸入。
使用安全的數據庫操作：使用預處理語句或參數化查詢，避免將用戶輸入直接拼接在SQL查詢語句中，以防止SQL注入攻擊。
設置HTTP-only標志：對于包含敏感信息的Cookie，設置HTTP-only標志，以防止JavaScript通過document.cookie訪問和修改Cookie的值。
定期更新和升級：及時更新PHP版本和相關軟件庫，以獲取最新的安全補丁和修復程序，減少已知漏洞的風險。
上述步驟并非絕對保證防止XSS攻擊，因此建議綜合使用多種防御措施，并保持對最新的安全威脅和漏洞的學習和了解。
