htmlspecialchars() 应用于输出而非入库，入库需用预处理或mysqli_real_escape_string()；否则html实体被存入数据库，导致显示和搜索异常。
htmlspecialchars() 不该用在入库前，它只管输出安全；入库必须用预处理或 mysqli_real_escape_string()，否则会把 HTML 实体存进数据库，导致后续显示和搜索全乱。
入库前别碰 htmlspecialchars()
很多人看到用户输入带 、<code>" 就下意识套 htmlspecialchars() 再插进数据库，结果查出来是 <script></script> 而不是原始标签——这不是“防 XSS”，是自废功能。入库阶段要解决的是 SQL 注入，不是浏览器渲染问题。
- 正确做法：用 ThinkPHP 的查询构造器（如
Db::insert()）或 PDO 预处理，底层自动参数绑定，根本不用手动转义 - 若必须拼 SQL 字符串（不推荐），应调用
Db::name('table')->escape($str)或原生mysqli_real_escape_string()，它只转'、"、\等 SQL 元字符，不影响 HTML 结构 - 错误示范：
htmlspecialchars($input, ENT_QUOTES, 'UTF-8')后再入库 → 数据库里存的是实体，前端htmlspecialchars_decode()也救不回来语义（比如&变成&而非原始&）
出库后、输出前才用 htmlspecialchars()
从数据库读出的字符串，只要准备 echo 到 HTML 页面里，就必须过一遍 htmlspecialchars()，且参数不能省：
- 必须显式传
ENT_QUOTES：否则属性值里的单引号'不转义，<input value="<?=$name?>">遇到O'Reilly就断链 - 必须指定
'UTF-8'编码：PHP 8.1+ 默认加了ENT_SUBSTITUTE，但老版本不加会因非法 UTF-8 字节报 Warning - 简写无效：
echo htmlspecialchars($str)漏掉后两个参数 → 中文可能乱码，单引号裸奔
富文本内容要过滤，不是转义
如果字段存的是用户通过富文本编辑器提交的 HTML（比如带 <p></p><div class="aritcle_card flexRow artxards">
<div class="artcardd flexRow">
<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站"><img
src="https://img.php.cn/upload/skill/000/000/081/179040786932301.jpg" alt="btpanel phpsite 宝塔面板PHP网站" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
<div class="aritcle_card_info flexColumn">
<a rel="nofollow" href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站" class="overflowclass">btpanel phpsite 宝塔面板PHP网站</a>
<p class="overflowclass">宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理</p>
</div>
<a rel="nofollow" href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
</a>
</div>
</div>、<strong></strong>），htmlspecialchars() 是错的——它会让所有标签变成纯文本，页面显示 <p>Hello</p>。
- 安全做法：用白名单过滤，ThinkPHP 自带
think\helper\Str::htmlEncode()不适用，应改用HTMLPurifier库，配置允许的标签和属性（如只留p,br,strong,a[href]） - 临时方案：用
strip_tags($html, ['p', 'br', 'strong'])剥离不可信标签，但无法控制属性（如onerror仍可残留） - 绝对禁用：
preg_replace('/<script.>/is', '', $html)</script.>—— 正则过滤 HTML 是已知不可靠的，绕过方式太多
数据库里存了被 addslashes() 处理过的 HTML 怎么办
有些老系统入库前用了 addslashes()，导致属性值双引号变成 \"，读出来直接输出就崩结构。这不是转义逻辑错了，是存储污染了。
- 先确认是否真有反斜杠：用
var_dump($row['content'])看原始值，别靠浏览器源码判断（浏览器会渲染引号） - 如果是
addslashes()导致的，出库后第一件事是stripslashes($row['content'])，再交给htmlspecialchars()或 HTMLPurifier - 注意顺序：必须先
stripslashes()，再htmlspecialchars()；反过来会把\"变成"，还是错的 - 长期解法：迁移数据时用
stripslashes()批量清洗，代码层彻底弃用addslashes()入库
最易忽略的一点：模板里用 {$var} 或 = $var ?> 时，ThinkPHP 不自动转义——你得自己包一层 htmlspecialchars()，短标签不是保护伞。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
