PHP要将HTML特殊字符进行转义，最核心也最常用的函数就是
。它能把一些在HTML中有特殊含义的字符（比如
、
、
、
、
）转换成对应的HTML实体，从而防止这些字符被浏览器误解析为HTML标签或属性，有效规避潜在的跨站脚本（XSS）攻击。
解决方案
在PHP中处理HTML特殊字符转义，
是你的首选工具。这个函数接收一个字符串，并将其中的预定义字符转换为HTML实体。
基本用法：
函数有几个可选参数，它们能让你更精细地控制转义行为：
立即学习
“
PHP免费学习笔记（深入）
”；
: 必需，要进行转义的字符串。
: 可选，位掩码，用于指定如何处理引号以及其他字符。常用的标志有：
(默认): 只转换双引号，不转换单引号。
: 转换双引号和单引号。这是我个人在处理用户输入时最常使用的，因为它提供了更全面的保护。
: 不转换任何引号。这在某些特定场景下有用，但要慎用。
(PHP 5.4+): 使用HTML5命名实体。
: 使用XHTML命名实体。
: 可选，指定字符编码，默认为
（通常是
）。明确指定编码是一个好习惯，可以避免乱码问题。
: 可选，布尔值，默认为
。如果设置为
，PHP不会对已有的HTML实体进行二次编码。比如
不会变成
。这在处理可能已经部分转义过的数据时非常有用。
一个更健壮的例子：
为什么对HTML特殊字符进行转义是不可或缺的安全实践？
说实话，刚开始接触Web开发时，我可能不会太在意这些小细节，觉得“不就是显示个文本嘛”。但随着对安全的深入理解，我发现对HTML特殊字符进行转义，根本上是为了防范一种非常普遍且危险的攻击手段——跨站脚本（Cross-Site Scripting, 简称XSS）。
XSS攻击的核心思想是：攻击者通过某种方式（比如在评论框、个人资料、URL参数中）注入恶意脚本代码到网页中，当其他用户访问这个网页时，这些恶意脚本就会在用户的浏览器上执行。想想看，如果你的网站允许用户输入带有
htmlspecialchars()<>&"'htmlspecialchars()alert('You are hacked!');";
$safe_output = htmlspecialchars($user_input);
echo $safe_output;
// 输出:
$another_input = '我有一些&符号和"引号"';
$safe_output_2 = htmlspecialchars($another_input);
echo $safe_output_2;
// 输出: 我有一些&符号和"引号"
?>htmlspecialchars()$string$flagsENT_COMPATENT_QUOTESENT_NOQUOTESENT_HTML5ENT_XHTML$encodingini_get("default_charset")UTF-8$double_encodetruefalse&&