php 8.1 中拖放文字入库不转义，须用预处理防sql注入；出库输出前才用htmlspecialchars转义；富文本需html过滤而非简单转义。
PHP 8.1 中“拖放文字内容”本身不涉及特殊转义逻辑，关键在于：用户通过拖放（如从富文本编辑器、Word、网页复制粘贴）输入的文本，最终以字符串形式进入 PHP 后端时，需按**数据流向分阶段处理**——入库不转义、出库输出前转义、富文本需过滤而非简单转义。
入库阶段：别手动转义，用预处理防 SQL 注入
拖放来的文字可能含单引号、双引号、反斜线甚至换行符，但绝不能用 htmlspecialchars() 或 addslashes() 入库。这些函数面向 HTML 输出或旧式 SQL 拼接，不是现代安全方案。
- 推荐用 ThinkPHP 查询构造器（如
Db::insert()）或原生 PDO 预处理语句，参数自动绑定，底层隔离数据与 SQL 结构 - 若必须拼 SQL（不建议），仅用
Db::name('table')->escape($str)或mysqli_real_escape_string()—— 它只转义 SQL 元字符（'、"、\、NULL），不影响后续 HTML 渲染 - 错误做法：
htmlspecialchars($input, ENT_QUOTES, 'UTF-8')后存进数据库 → 数据库里存的是而非 <code>，前端再怎么 <code>htmlspecialchars_decode()也恢复不了原始语义
输出到 HTML 页面前：必须用 htmlspecialchars()，且参数不能省
从数据库读出的拖放内容，只要准备 echo 到 HTML 中（无论是 <div> 内容、<code><input value=""> 属性，还是 <textarea></textarea>），就必须过一遍 htmlspecialchars()。
- 必须显式传
ENT_QUOTES：否则属性值里的单引号（如O'Reilly）不转义，导致<input value="O'Reilly">实际被解析为value="O"，后续 HTML 断链 - 必须指定
'UTF-8'编码：PHP 8.1+ 默认加ENT_SUBSTITUTE防非法字节警告，但老版本不加会报Warning；中文乱码也常因编码缺失引起 - 禁止简写：
htmlspecialchars($str)漏掉后两个参数 → 单引号裸奔 + 中文显示为方块或问号
拖放内容含 HTML 标签时：过滤优先，不是转义
如果用户拖放的是带格式的内容（比如从微信公众号、Notion 复制的 <p><strong>标题</strong></p>），说明字段设计本就是“富文本”，此时再套 htmlspecialchars() 就错了——页面会直接显示源码，而不是渲染成加粗段落。
- 纯文本需求：用
strip_tags($html, ['br', 'p', 'strong'])白名单保留基础标签，其余全删 - 安全富文本需求：用 HTMLPurifier，配置白名单（允许哪些标签、属性、URL 协议），禁用
script、onerror、javascript:等高危项 - 绝对不要手写
preg_replace('/<script.>.*?/is', '', $html)</script.>—— 绕过方式极多（大小写混淆、注释绕过、Unicode 变体等）
其他上下文：按场景选函数，不硬套 htmlspecialchars()
拖放内容若用于非 HTML 场景，需切换处理方式：
- 输出到
<script></script>内或 JS 变量中：用json_encode($str, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG)，再包裹在引号里，避免 XSS 和语法错误 - 拼接 URL 参数（如搜索关键词）：用
urlencode($str)，不是htmlspecialchars() - 写入文件或日志：一般无需 HTML 转义，但要注意换行、控制字符是否影响日志解析
