由 dawei PHP开发中，HTML5新特性带来便利的同时也引入了新的安全盲区。传统XSS防护策略若未覆盖H5特有的上下文，极易失效。
表单输入需严格区分内容场景：普通文本用htmlspecialchars($str, ENT_QUOTES, ‘UTF-8’)转义；富文本则必须采用白名单过滤（如HTMLPurifier），禁用script、onerror等危险标签与事件属性；URL参数中的data:、javascript:协议须被明确拦截。
H5的localStorage和sessionStorage常被误认为“安全沙盒”，实则同源页面可任意读写。敏感数据（如token、用户标识）禁止存入，确需缓存时须先AES加密，并绑定设备指纹或短期时效。
Canvas像素提取、WebRTC IP泄露等隐蔽通道易被忽视。避免在Canvas中渲染含用户输入的SVG或HTML片段；WebRTC连接初始化前检查STUN服务器来源，禁用非可信域名。
AI设计，仅供参考
文件上传接口需三重校验：1）服务端MIME类型白名单比对（不依赖$_FILES[‘type’]）；2）文件头魔法数字验证（如PNG首4字节为\\x89PNG）；3）重命名后保存至非Web可执行目录，配合Nginx禁止该目录下.php/.js等后缀解析。
SQL注入防护已成共识，但H5+AJAX场景下易放松警惕。所有动态拼接的SQL必须使用PDO预处理语句，杜绝sprintf或字符串插值；JSON接口返回的数据若用于eval()或innerHTML赋值，必须先经JSON.parse()并严格校验结构字段类型。
CSP（内容安全策略）是H5时代XSS终极防线。通过Header(‘Content-Security-Policy: default-src \\’self\\’; script-src \\’self\\’ \\’unsafe-inline\\’ https:; object-src \\’none\\”)限制资源加载源头，配合nonce或hash机制允许特定内联脚本，从根本上阻断恶意代码执行链。
安全不是功能补丁，而是开发习惯。每次接收前端数据，都应默认其不可信；每处输出到HTML/JS/URL的变量，都需主动选择对应编码方式；每个新引入的H5 API，都应查阅其安全规范文档再落地。