以下は、PHPの脆弱なコードで、反射型XSS攻撃を受けやすい例です：

BASH
```
$name = $_GET['name'];
echo "Hello, " . $name;
```

この例では、`$name` 変数が URL のクエリ文字列から直接取得され、バリデーションやサニタイズなしに ユーザーの入力が echo されます。攻撃者は `name` パラメータに悪意のあるペイロードを含む URL を作成することができます：

PHP
```
http://example.com/?name=<script>alert('XSS Attack')</script>
```

被害者がこのURLにアクセスすると、悪意のあるスクリプトが被害者のブラウザで実行され、攻撃者は機密情報を盗んだり、その他の悪意のあるアクションを実行したりできる可能性があります。この種の攻撃を防ぐには、動的に生成されるコンテンツにユーザー入力を含める前に、適切に検証し、サニタイズすることが重要です。

BASH
```
$name = htmlspecialchars($_GET['name']);
echo "Hello, " . $name;
```

この修正されたコードでは、`htmlspecialchars`関数を使用して、`<`や`>`などの特殊文字をエンコードし、HTMLやJavaScriptとして解釈されずにプレーンテキストとして表示されるようにしています。
Here's an example of a vulnerable code in PHP that is susceptible to a reflected XSS attack:

BASH
```
$name = $_GET['name'];
echo "Hello, " . $name;
```

In this example, the `$name` variable is being directly retrieved from the query string of the URL and echoed the user input without any validation or sanitation. An attacker can craft a URL with a malicious payload in the `name` parameter, for example:

PHP
```
http://example.com/?name=<script>alert('XSS Attack')</script>
```

When a victim visits this URL, the malicious script would be executed in the victim's browser, allowing the attacker to potentially steal sensitive information or perform other malicious actions. To prevent this type of attack, it's important to properly validate and sanitize user input before including it in dynamically generated content.

BASH
```
$name = htmlspecialchars($_GET['name']);
echo "Hello, " . $name;
```

In this modified code, the `htmlspecialchars` function is used to encode any special characters, such as `<` and `>`, so that they are displayed as plain text and not interpreted as HTML or JavaScript.