要防止XSS（跨站脚本攻击）攻击，可以遵循以下几个步骤：
输入过滤：对用户输入的数据进行过滤和验证，可以使用PHP函数如htmlspecialchars来转义特殊字符，或使用正则表达式匹配特定的输入格式，以确保输入的数据不包含任何恶意的脚本标签。
输出编码：在将数据输出到HTML页面时，使用合适的编码方式，如htmlspecialchars函数，将特殊字符转义为HTML实体，以防止恶意脚本被执行。
内容安全策略（Content Security Policy，CSP）：使用CSP来限制网页中可执行的脚本源，只允许从指定的域名加载脚本文件，防止恶意脚本的注入。可以通过设置HTTP头或添加<meta>标签来启用CSP。
验证用户输入：在处理用户输入数据之前，进行严格的输入验证，如验证输入的内容是否符合预期的格式和长度，拒绝非法的输入。
使用安全的数据库操作：使用预处理语句或参数化查询，避免将用户输入直接拼接在SQL查询语句中，以防止SQL注入攻击。
设置HTTP-only标志：对于包含敏感信息的Cookie，设置HTTP-only标志，以防止JavaScript通过document.cookie访问和修改Cookie的值。
定期更新和升级：及时更新PHP版本和相关软件库，以获取最新的安全补丁和修复程序，减少已知漏洞的风险。
上述步骤并非绝对保证防止XSS攻击，因此建议综合使用多种防御措施，并保持对最新的安全威胁和漏洞的学习和了解。