// 设置使用 HttpOnly cookie
@ini_set("session.cookie_httponly", 1);

// 只能是同源域名下的网页可以被嵌套
header('X-Frame-Options:sameorigin');

另外，过滤用户的输入，以及相关传参