htmlspecialchars() 是绝大多数场景下最安全的选择，仅转义 &、、"、' 五个字符，防 xss 且不破坏中文和 html 结构；务必显式指定 ent_quotes 和 utf-8 编码。
用 htmlspecialchars() 处理用户输入最安全
绝大多数场景下，该函数就是你要找的答案。它只转义 &、、<code>>、"、' 这 5 个关键字符，既防 XSS，又不破坏 HTML 结构或中文显示。
常见错误是直接上 htmlentities()，结果把所有非 ASCII 字符（比如中文、emoji）也转成 ...;，页面显示乱码或异常空白。
实操建议：
- 始终显式指定
charset参数，如htmlspecialchars($str, ENT_QUOTES, 'UTF-8')，避免 PHP 默认 ISO-8859-1 导致中文被误判为非法字节而返回空字符串 - 用
ENT_QUOTES而非ENT_COMPAT，确保单引号也被转义（尤其在data-*属性中很关键） - 不要依赖
default_charsetini 设置，它不可靠且容易被覆盖
需要完整转义所有 Unicode 字符？用 htmlentities() 加 ENT_IGNORE
只有当你明确需要把中文、日文、数学符号等全部转成十进制或十六进制实体（如 你好 → 你好），才考虑这个函数。典型场景是生成严格 ASCII 兼容的邮件模板或遗留系统接口。
但必须加 ENT_IGNORE（PHP 7.2+ 已废弃，改用 ENT_SUBSTITUTE），否则遇到非法 UTF-8 字节序列会直接返回空字符串，导致数据丢失。
示例：
$safe = htmlentities($str, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8');
注意：ENT_SUBSTITUTE 会把非法字节替换成 ，比静默丢弃更可控。
anything-to-html
下载
将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。
htmlspecialchars_decode() 和 html_entity_decode() 别混用
前者只还原 &、、<code>>、"、' 这 5 个，后者能还原所有已知 HTML 实体（包括 ©、λ、😊 等）。
如果你用 htmlentities() 转过全量字符，就必须用 html_entity_decode() 才能正确还原；反之，若原始只是 htmlspecialchars()，两者效果一致，但前者更快、更轻量。
常见坑：
- 没传
charset导致中文实体解码失败，返回原样或乱码 - 在 JSON 响应里嵌套 HTML 实体后又双重解码，造成
<→→ <code> 的意外标签注入
输出到 HTML 属性值时额外加引号包裹
即使用了 htmlspecialchars()，如果直接拼进未加引号的属性，仍有风险。例如：
<div data-id="<?php" echo htmlspecialchars>><p>当 <code>$user_input</code> 是 <code>123 onclick=alert(1)</code>，结果变成 <code>data-id=123 onclick=alert(1)</code> —— 属性提前闭合，XSS 成立。</p> <p>正确做法是：始终用双引号或单引号包裹属性值，并确保引号本身也被转义（即用 <code>ENT_QUOTES</code>）：</p> <pre class="brush:php;toolbar:false;"><div data-id="<?php echo htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8'); ?>"><p>这个细节在模板引擎里常被忽略，尤其是手写 <code>echo</code> 拼接时。</p></div>
