未转义的用户输入输出（XSS）

严重程度: 高 CWE-79 OWASP A03:2021 Injection rule: xss

为什么危险

直接输出用户输入，攻击者注入的脚本就会在访客浏览器中运行，窃取会话或篡改页面。转义会把特殊字符变成无害的文本。

✕ 有漏洞的写法

echo 'Hello ' . $_GET['name'];

✓ 安全的写法

echo 'Hello ' . htmlspecialchars($_GET['name'] ?? '', ENT_QUOTES, 'UTF-8');

输出时使用 htmlspecialchars($value, ENT_QUOTES, 'UTF-8')。

扫描我的代码

粘贴文件，PHP Safe 会指出所有符合此规则的代码行。