绝大多数场景应使用htmlspecialchars而非htmlentities；它仅转义&、、"、'五个关键字符，兼顾xss防护与中文兼容性，而htmlentities会过度转义中文等字符导致乱码或可读性差。
绝大多数场景下，该用 htmlspecialchars，而不是 htmlentities；除非你明确需要把中文、希腊字母、数学符号等也转成 宠 这类数字实体——而这种需求极少。
只转义 5 个关键字符 vs 转义所有可映射字符
htmlspecialchars 只处理：&、、<code>>、"、'（后两者是否转义取决于 $flags）。这是防御 XSS 最核心、最安全的最小集。
htmlentities 会查表把所有有 HTML 实体定义的字符都转掉，比如 é → é、α → α、甚至中文「测」→ 测。但问题在于：
- 它依赖
$encoding参数严格匹配输入字节流，错配就出乱码（如 UTF-8 字符串传'ISO-8859-1'） - 中文网站里大量出现
宠进中这种不可读输出，纯属副作用 - 现代浏览器对数字实体支持稳定，但没必要为非 ASCII 字符增加体积和可读性损耗
编码参数不指定就容易翻车
两个函数都接受 $encoding 参数，但 htmlentities 对它更敏感：
-
htmlspecialchars('测试', ENT_QUOTES, 'UTF-8')→ 安全输出「测试」 -
htmlentities('测试', ENT_QUOTES, 'UTF-8')→ 输出「测试」（可读性差，无实际好处） -
htmlentities('测试')（没传$encoding）→ 极大概率输出乱码，因为默认读default_charset配置，而该配置常是过时的ISO-8859-1或空值 -
htmlspecialchars('测试')同样不传编码 → 仍大概率正常，因它跳过非那 5 个字符，不碰中文字节
ENT_QUOTES 和 ENT_SUBSTITUTE 是关键安全组合
PHP 8.1+ 默认启用 ENT_SUBSTITUTE（遇非法 UTF-8 序列替换为 ），但这对 htmlentities 是双刃剑：
- 开启时，错误编码的字符串不会崩，但可能悄悄变成一堆
� -
htmlspecialchars在同样条件下更保守：非法字节直接跳过，不生成实体，输出更可控 - 生产环境务必显式写全参数：
htmlspecialchars($str, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8') - 别依赖
ini_get('default_charset')—— 它在 CLI 模式下为空，在老旧 ini 文件里可能是ISO-8859-1
真正要小心的不是「选哪个函数」，而是「是否显式声明 UTF-8 编码 + ENT_QUOTES」。漏掉这两点，htmlspecialchars 也会在特定边界 case 下失效；而 htmlentities 即便写对了，多数时候只是徒增噪声。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
