htmlspecialchars php5.4,PHP htmlspecialchars()函数

1、htmlspecialchars()函数把特殊字符转换成HTML实体，防止攻击或通过表单注入HTML或JS代码

htmlspecialchars() 函数把一些预定义的字符转换为 HTML 实体。

预定义的字符是：

& (和号) 成为 &

" (双引号) 成为 "

' (单引号) 成为 '

< (小于) 成为 <

> (大于) 成为 >

语法如下：

htmlspecialchars(string,flags,character-set,double_encode)

其中第二个参数flags需要重要注意，很多开发者就是因为没有注意到这个参数导致使用htmlspecialchars()函数过滤XSS时被绕过。因为flags参数对于引号的编码如下：

可用的引号类型：

ENT_COMPAT - 默认。仅编码双引号。

ENT_QUOTES - 编码双引号和单引号。

ENT_NOQUOTES - 不编码任何引号。

默认是只编码双引号的！默认只编码双引号！默认只编码双引号……