防xss关键在于输出时转义，htmlspecialchars()需严格传入ent_quotes、utf-8、ent_html5三参数并设double_encode=false，仅适用于html文本节点和属性值。
防XSS不是靠“过滤输入”，而是确保用户数据在**输出到HTML时不会被浏览器误解析为代码**。htmlspecialchars()是PHP中最常用、最有效的基础手段，但用错参数等于没用——它不是开关，而是精密阀门。
必须传的三个参数：ENT_QUOTES、UTF-8、ENT_HTML5
只写 htmlspecialchars($str) 是高危操作。默认不转义单引号，也不指定编码，攻击者用 ' onfocus=alert(1) 就能绕过。
-
ENT_QUOTES：强制转义单引号和双引号，防止闭合HTML属性（如
value="xxx"或alt='xxx'） - UTF-8：显式声明编码，避免多字节截断绕过（比如 GBK 编码下用 %A1%A1 构造截断）
- ENT_HTML5：让函数按 HTML5 标准处理，兼容现代标签与实体（如 :、.），比 ENT_HTML401 更稳妥
别碰 double_encode=true 这个默认值
当用户输入里已含 & 这类合法实体时，开启双重编码会把它变成 &，页面显示为文字“&”而非符号“&”。多数业务场景要保持语义正确。
- 安全输出且需保留原始含义 → 用
false：htmlspecialchars($str, ENT_QUOTES | ENT_HTML5, 'UTF-8', false) - 仅用于纯防御、不关心显示效果（如日志脱敏）→ 可保留
true
它只管HTML文本和属性，别的地方千万别硬套
把 htmlspecialchars() 当万能膏药，是XSS反复中招的主因。它只适用于以下两个位置：
- HTML文本节点：
<div><?php echo htmlspecialchars($name); ?></div> - 带引号包裹的HTML属性：
<input value="<?php echo htmlspecialchars($val); ?>">（注意：引号不能省！）
以下场景完全无效甚至危险：
- JS字符串内：
var msg = "<?php echo htmlspecialchars($msg); ?>";→ 改用json_encode($msg, JSON_UNESCAPED_UNICODE | JSON_HEX_QUOT | JSON_HEX_AMP) - URL参数：
<a href="search.php?q=<?php%20echo%20htmlspecialchars(%24q);%20?>"></a>→ 改用urlencode($q) - 富文本内容（如编辑器提交的带格式内容）→ 必须用 HTMLPurifier 白名单过滤，
htmlspecialchars()会把所有标签都变成文字，毁掉排版
常见绕过陷阱与应对
很多漏洞不是函数没用，而是环境配错了：
-
页面meta编码和函数编码不一致：网页声明
<meta charset="GBK">锛屽嵈鐢
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
