为了避免 $_SERVER["PHP_SELF"] 被利用，可以采取以下几个安全措施：
- 使用 htmlspecialchars() 函数对
$_SERVER["PHP_SELF"]进行转义：在输出$_SERVER["PHP_SELF"]之前，使用htmlspecialchars()函数对其进行转义。这将确保任何 HTML 特殊字符都被转义，防止跨站点脚本（XSS）攻击。 - 使用 htmlentities() 函数对
$_SERVER["PHP_SELF"]进行转义：除了使用htmlspecialchars()函数外，你还可以考虑使用htmlentities()函数对$_SERVER["PHP_SELF"]进行转义。这将转义更多的字符，包括特殊字符和非 ASCII 字符。 - 使用过滤器过滤
$_SERVER["PHP_SELF"]的值：使用 PHP 过滤器（Filter）来过滤$_SERVER["PHP_SELF"]的值。可以使用FILTER_SANITIZE_STRING过滤器来删除任何非法的字符。
$phpSelf = filter_var($_SERVER["PHP_SELF"], FILTER_SANITIZE_STRING);
- 使用其他替代方案：考虑使用其他替代方案来获取当前脚本的 URL，而不使用
$_SERVER["PHP_SELF"]。例如，可以使用$_SERVER["REQUEST_URI"]或$_SERVER["SCRIPT_NAME"]来获取当前脚本的路径。 - 验证和限制用户输入：对于用户输入的数据，始终要进行验证和限制。确保只接受预期的输入，例如特定的字符集、长度限制等。避免直接使用用户输入来构建文件路径、数据库查询等，以防止路径遍历攻击和 SQL 注入攻击。
这些措施可以帮助减少 $_SERVER["PHP_SELF"] 被利用的风险。然而，最好的安全实践是避免直接使用 $_SERVER["PHP_SELF"]，而是使用其他安全的方法来获取当前脚本的 URL。