為了防止PHP輸出被注入攻擊，你可以采取以下措施：
使用預處理語句（Prepared Statements）和參數化查詢： 使用PDO（PHP Data Objects）或MySQLi擴展中的預處理語句功能，可以有效防止SQL注入攻擊。預處理語句將查詢和數據分開處理，確保用戶輸入不會被解釋為SQL代碼的一部分。
// 使用PDO
$pdo = new PDO('mysql:host=example.com;dbname=testdb', 'username', 'password');
$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');
$stmt->bindParam(':username', $username);
$username = $_POST['username'];
$stmt->execute();
// 使用MySQLi
$mysqli = new mysqli('example.com', 'username', 'password', 'testdb');
$stmt = $mysqli->prepare('SELECT * FROM users WHERE username = ?');
$stmt->bind_param('s', $username);
$username = $_POST['username'];
$stmt->execute();
輸出編碼：
在將數據輸出到瀏覽器之前，確保對其進行適當的編碼。對于HTML輸出，可以使用htmlspecialchars()或htmlentities()函數。
echo htmlspecialchars($username, ENT_QUOTES, 'UTF-8');
使用內置的過濾函數：
PHP提供了內置的過濾函數，如filter_var()，可以用來清理用戶輸入。
$username = filter_var($_POST['username'], FILTER_SANITIZE_STRING);
避免使用eval()和exec()：
這些函數可以執行任意代碼，因此應該避免使用它們來處理用戶輸入，除非你完全信任輸入的來源，并且已經采取了其他安全措施。
使用內容安全策略（CSP）： 內容安全策略是一種安全特性，可以幫助防止跨站腳本攻擊（XSS）。通過設置CSP頭，你可以限制瀏覽器可以執行的腳本來源。
header('Content-Security-Policy: default-src "self";');
驗證和清理用戶輸入： 在處理用戶輸入之前，始終進行驗證和清理。確保輸入符合預期的格式和類型，并且不包含任何潛在的惡意代碼。
if (!preg_match('/^[a-zA-Z0-9]+$/', $username)) {
// 處理無效輸入
}
通過采取這些措施，你可以大大降低PHP輸出被注入攻擊的風險。
