1、输出数据时进行转义：这是最基本的预防措施。确保在输出数据到HTML时对特殊字符进行适当的转义，以防止它们被解释为HTML或JavaScript代码。PHP中可以使用htmlspecialchars()、strip_tags()、htmlentities函数来实现这一点。

echo htmlspecialchars($data, ENT_QUOTES, 'UTF-8');
2、使用预处理语句：在处理数据库输入时使用预处理语句可以防止SQL注入，同时也能减少XSS风险。预处理语句不会直接将用户输入的数据嵌入到SQL查询中，从而避免了恶意脚本的执行。
3、验证和过滤用户输入：在接收用户输入时，应对其进行严格的验证和过滤。只接受预期的数据类型和格式，并拒绝任何不合法的输入。可以使用PHP的过滤器函数，如filter_input()或filter_var()。

$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);
4、设置合适的内容安全策略（CSP）：CSP是一种额外的安全层，用于指定哪些动态资源可以加载。通过设置CSP头，可以防止不可信的内容在浏览器中执行。

header("Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-XYZ123'; style-src 'self';");

5、使用框架的内置防护：许多现代PHP框架（如Laravel、Symfony等）都提供了防止XSS攻击的内置工具和功能，尽量使用这些框架的安全功能。

6、避免使用直接的用户输入：尽量避免直接将用户输入嵌入到页面中。对于需要展示的动态数据，可以考虑使用模板引擎或其他安全的输出方法。

7、如果可能开启强制路由或者设置MISS路由规则，严格规范每个URL请求；