在PHP中，`strip_tags()` 函数是一个非常有用的工具，它用于去除字符串中的HTML、XML以及PHP标签。这个函数非常适合在需要从用户输入中清理掉标签，以防止跨站脚本攻击（XSS）或其他安全风险时使用。
### 函数的基本用法
$text = '<p>Test paragraph.</p><!-- This is a comment --> <a href="#fragment">Other text</a>';
echo strip_tags($text);
// 输出: Test paragraph. Other text
在这个例子中，`
`、`` 和 `` 标签都被去除了，只剩下纯文本内容。
### 可选参数
`strip_tags()` 函数还接受一个可选的第二个参数，允许你指定哪些标签应该被保留，而不是被去除。
$text = '<p>Test paragraph.</p><a href="http://example.com">Link</a>';
echo strip_tags($text, '<p>');
// 输出: <p>Test paragraph.</p>Link
在这个例子中，`
` 标签被保留了，而 `` 标签被去除了。
### 注意事项
- 尽管 `strip_tags()` 是一个有用的函数，但它并不能完全防止所有类型的XSS攻击。特别是，如果攻击者能够插入一些看似无害但实际上在特定上下文中可能有害的HTML实体或JavaScript代码，那么仅仅使用 `strip_tags()` 可能不足以保护你的网站。
- 当处理用户输入时，除了使用 `strip_tags()` 之外，还应该考虑使用HTML实体转义（如PHP的 `htmlspecialchars()` 函数）来确保用户输入的数据在输出到HTML页面时不会被当作HTML代码执行。
### 结论
`strip_tags()` 是PHP中用于去除HTML、XML和PHP标签的一个简单而有效的函数。通过可选参数，你还可以指定哪些标签应该被保留。然而，在处理用户输入时，除了使用这个函数之外，还应该采取其他安全措施来防止潜在的XSS攻击。