PHP函数介绍—htmlspecialchars(): 转义字符串中的特殊字符

M66 2025-06-05

PHP中 htmlspecialchars() 函数的作用与用法详解

在 Web 开发过程中，用户输入的内容往往直接用于页面展示或数据交互。为了防止恶意脚本注入等安全问题，开发者必须对这些输入数据进行严格处理。htmlspecialchars() 是 PHP 中用于转义字符串中特殊字符的重要函数，可以有效地防止 XSS（跨站脚本攻击）等安全隐患。

函数语法结构


string htmlspecialchars(
    string $string,
    int $flags = ENT_COMPAT | ENT_HTML401,
    string $encoding = "UTF-8",
    bool $double_encode = true
)

$string：必填，要进行转义的字符串。
$flags：可选，定义如何处理引号，默认值为 ENT_COMPAT | ENT_HTML401。
$encoding：可选，指定字符编码，默认使用 UTF-8。
$double_encode：可选，设置是否允许对已编码的实体再次编码，默认值为 true。

转义字符类型

该函数会将以下特殊字符转义为 HTML 实体：

& 转换为 &
" 转换为 "
' 转换为 '（在某些配置中）
< 转换为 <
> 转换为 >

通过这些转义，可以有效防止恶意脚本在浏览器中被执行。

使用示例

示例1：基本的特殊字符转义


$input = '<script>alert("Hello!");</script>';
$output = htmlspecialchars($input);
echo $output;
// 输出：<script>alert("Hello!");</script>

这个例子中，HTML 标签被安全地转义，浏览器将其作为纯文本而非脚本执行。

示例2：处理单引号和双引号


$input = 'I\'m "John"';
$output = htmlspecialchars($input, ENT_QUOTES);
echo $output;
// 输出：I'm "John"

设置 ENT_QUOTES 参数后，单引号和双引号都将被转义，适用于属性输出等场景。

示例3：指定字符编码


$input = '中文字符';
$output = htmlspecialchars($input, ENT_QUOTES, 'GBK');
echo $output;
// 输出：中文字符

如果指定的字符编码与输入数据的实际编码一致，那么中文等多字节字符不会被错误转义。

示例4：禁止双重转义


$input = 'special & character';
$output = htmlspecialchars($input, ENT_QUOTES, 'UTF-8', false);
echo $output;
// 输出：special & character

设置 $double_encode 为 false 可以防止已转义的实体再次被编码，保持输出内容的可读性。

总结

htmlspecialchars() 是 PHP 提供的一个重要函数，用于确保用户输入在页面中的安全输出。通过合理设置参数，可以灵活地应对不同编码和转义需求，有效地提升应用程序的安全性。在处理表单输入、动态内容输出等场景中，推荐开发者优先考虑使用该函数来避免潜在的 XSS 攻击。

htmlspecialchars