php htmlentities是干嘛的？防止网页脚本攻击就用它处理

发布日期： 2025-10-12 阅读量： 作者： admin

得，今天就来聊聊我捣鼓 `php htmlentities` 这玩意儿的经历。

起初，我自个儿写个小东西，比如留言板或者评论区啥的，用户不是能随便写点东西提交嘛一开始也没多想，就把用户写的东西直接从数据库里读出来，然后 `echo` 到页面上。

结果，很快就出问题了。有的用户淘气，或者就是不懂，输入了一些带尖括号 `< >` 的玩意儿，比如写了个 `大家好`，想着能加粗，结果有时候真把页面布局给弄乱了。更吓人的是，有一次我看到有人提交了一段 ``，查看网页源代码，发现它确实变成了 `<script>alert('xss');</script>`。浏览器不把它当代码执行了，安全感一下子就上来了。

后来我又深入研究了一下，发现 `htmlentities` 还有几个参数可以用。比如那个 `flags` 参数，默认情况下，它好像只转换双引号 `"`，不转换单引号 `'`。但有时候，你可能需要把用户输入放到 HTML 标签的属性里，而且是用单引号包围的，像 ``。如果用户输入里恰好有个单引号，那还是会出问题。这时候就得给 `htmlentities` 加上第二个参数 `ENT_QUOTES`，像这样：

echo htmlentities($userInput, ENT_QUOTES);

这样一来，单引号和双引号就都能被转换掉，感觉更保险了。

还有一个参数是关于字符编码的，一般我都会明确指定一下，比如 `UTF-8`，确保转换过程不会因为编码问题出乱码：

echo htmlentities($userInput, ENT_QUOTES, 'UTF-8');

过程中也看到有人提 `htmlspecialchars` 这个函数，据说它俩差不多，但 `htmlspecialchars` 默认只转换几个最关键的字符（`&`, `"`, `'`, `<`, `>`），而 `htmlentities` 会转换所有适用的 HTML 实体。感觉 `htmlentities` 更彻底一点，虽然可能效率上稍微差一丁点，但对于安全要求高或者不确定用户会输入啥奇怪字符的情况下，我个人更倾向于用 `htmlentities`，省心。

从那以后，在我写的 PHP 代码里，只要是涉及到从用户端接收数据（比如表单提交、URL 参数等），并且需要在网页上展示出来的，我基本上都会习惯性地套上 `htmlentities($var, ENT_QUOTES, 'UTF-8')` 来处理一下。这成了一个标准操作，虽然只是一个小小的函数，但确实帮我避免了很多潜在的麻烦和安全风险。实践下来感觉挺靠谱的，也推荐大家在处理用户输入输出到页面时养成这个习惯。

上一篇: 搜索引擎优化的方法：让你的网站更容易被找到！

下一篇: 租用香港服务器好还是买VPS划算？新手小白必看的成本分析！

php htmlentities是干嘛的？防止网页脚本攻击就用它处理

随便看看