1.使用安全宝或者是类是的云防火墙（我看又有谁说我做营销，用这点时间还不如去努力学习。）
推荐的原因是对于危险型的url xss以及注入可以做到很好的防御。
2.用户输入的永远都是不可信任的。不要尝试使用黑名单与白名单来解决问题；黑名单工作量大，白名单考虑不全面体验很差(不谈体验可以当我扯谈)；对于用户输入的统统转义为字符串，对于url链的输入可以用正则式来验证。
3.自己买本xss攻击的书去看看。然后编码的时候就有安全的意识了
字符限制？

 <SCRIPT>/*
*/a=""+/*
*/"doc"+/*
*/"ume"+/*
*/"nt."+/*
*/"wri"+/*
*/"te("+/*
*/'"<s'+/*
*/"cri"+/*
*/"pt "+/*
*/"src"+/*
*/"=1."+/*
*/"js>"+/*
*/"</s"+/*
*/"cri"+/*
*/"pt>"+/*
*/'")';/*
*/eval(a)/*（11）
*/</SCRIPT>（11）

@shinebay 有些时候过滤不是万能的。
并且1楼的那个函数还有问题：
http://www.wooyun.org/bugs/wooyun-2013-034885