PHP htmlspecialchars()函数用法与实例讲解

简介

htmlspecialchars() 函数用于将特殊字符转换为 HTML 实体，防止被浏览器解释为 HTML 代码执行，从而避免安全问题。该函数常用于处理表单提交数据、输出内容到 HTML 页面等场景。

htmlspecialchars() 函数的语法如下：

htmlspecialchars($string, $flags = ENT_COMPAT | ENT_HTML401, $encoding = 'UTF-8', $double_encode = true)

参数说明：

$string：需要处理的字符串。
$flags（可选）：可选的转换规则。默认为 ENT_COMPAT | ENT_HTML401，表示将双引号转换为 "，但不会将单引号转换为 '（HTML5 中已废弃），只使用 HTML4.01 中定义的实体。其他可选值包括：
ENT_COMPAT：将双引号转换为 "，不会将单引号转换为 '。
ENT_QUOTES：将双引号转换为 "，将单引号转换为 '。
ENT_NOQUOTES：不对引号进行转码。
ENT_HTML5：使用 HTML5 中定义的实体。
ENT_XHTML：使用 XHTML 中定义的实体。
ENT_XML1：使用 XML1 中定义的实体。
ENT_QUOTES | ENT_HTML5：将双引号转换为 "，将单引号转换为 '，并使用 HTML5 中定义的实体。
$encoding（可选）：指定输入和输出数据的字符集编码，默认为 UTF-8。
$double_encode（可选）：指示是否对现有的转义字符进行重编码，默认为 true。

示例

示例 1：表单提交数据处理

下面是处理表单提交数据的一段代码：

$name = $_POST['name'];
$age = $_POST['age'];

$name = htmlspecialchars($name);
$age = htmlspecialchars($age);

echo "Name: $name<br>";
echo "Age: $age<br>";

在上述代码中，首先获取了 name 和 age 两个表单字段的值，然后分别使用 htmlspecialchars() 函数处理这两个值。最后输出处理后的结果，以在 HTML 页面上显示这些数据。

这样做的好处是可以避免用户输入恶意脚本或 HTML 代码，从而防止 XSS 攻击。例如，如果用户在表单中输入了下面这段恶意脚本：

<script>alert('I am a hacker!')</script>

那么，经过 htmlspecialchars() 处理后，输出的 HTML 代码会变成：

&lt;script&gt;alert(&#039;I am a hacker!&#039;)&lt;/script&gt;

从而保证了页面的安全性。

示例 2：输出 JSON 数据

下面是通过 json_encode() 函数生成 JSON 数据，再使用 htmlspecialchars() 函数处理的一段代码：

$data = array(
    'name' => '张三',
    'age' => 18
);
$json = json_encode($data);
$json = htmlspecialchars($json, ENT_NOQUOTES, 'UTF-8');

echo $json;

在上述代码中，首先定义了一个数组 $data，包含了 name 和 age 两个字段。然后，使用 json_encode() 函数将该数组转换为 JSON 字符串，再使用 htmlspecialchars() 函数处理这个字符串。

这样做的好处是可以防止输出的 JSON 字符串包含 HTML 实体以外的特殊字符，从而避免了 JSON 正确解析的问题。