为了防止PHP输出被注入攻击，你可以采取以下措施：
使用预处理语句（Prepared Statements）和参数化查询： 使用PDO（PHP Data Objects）或MySQLi扩展中的预处理语句功能，可以有效防止SQL注入攻击。预处理语句将查询和数据分开处理，确保用户输入不会被解释为SQL代码的一部分。
// 使用PDO
$pdo = new PDO('mysql:host=example.com;dbname=testdb', 'username', 'password');
$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');
$stmt->bindParam(':username', $username);
$username = $_POST['username'];
$stmt->execute();
// 使用MySQLi
$mysqli = new mysqli('example.com', 'username', 'password', 'testdb');
$stmt = $mysqli->prepare('SELECT * FROM users WHERE username = ?');
$stmt->bind_param('s', $username);
$username = $_POST['username'];
$stmt->execute();
输出编码：
在将数据输出到浏览器之前，确保对其进行适当的编码。对于HTML输出，可以使用htmlspecialchars()或htmlentities()函数。
echo htmlspecialchars($username, ENT_QUOTES, 'UTF-8');
使用内置的过滤函数：
PHP提供了内置的过滤函数，如filter_var()，可以用来清理用户输入。
$username = filter_var($_POST['username'], FILTER_SANITIZE_STRING);
避免使用eval()和exec()：
这些函数可以执行任意代码，因此应该避免使用它们来处理用户输入，除非你完全信任输入的来源，并且已经采取了其他安全措施。
使用内容安全策略（CSP）： 内容安全策略是一种安全特性，可以帮助防止跨站脚本攻击（XSS）。通过设置CSP头，你可以限制浏览器可以执行的脚本来源。
header('Content-Security-Policy: default-src "self";');
验证和清理用户输入： 在处理用户输入之前，始终进行验证和清理。确保输入符合预期的格式和类型，并且不包含任何潜在的恶意代码。
if (!preg_match('/^[a-zA-Z0-9]+$/', $username)) {
// 处理无效输入
}
通过采取这些措施，你可以大大降低PHP输出被注入攻击的风险。
