PHP函数：htmlspecialchars - 将特殊字符转换为HTML实体。
HTML是一种标记语言，它用来编写网站页面。HTML标记标识页面上的文本、图像、链接等。然而，如果在HTML标记中包含特殊字符（如<、>、&等），则可能会导致网页出现错误或漏洞。因此，为了避免此类问题，可以使用PHP内置函数htmlspecialchars来将特殊字符转换为HTML实体。
htmlspecialchars函数的语法如下：
htmlspecialchars(string $string, int $flags = ENT_COMPAT | ENT_HTML401, string|null $encoding = ini_get("default_charset"), bool $double_encode = true): string|false
其中：
- $string：要转换的字符串。
- $flags：可选参数，表示转换的选项。默认值为ENT_COMPAT | ENT_HTML401，对应的表示将仅转换双引号，并使用HTML 401实体编码集。
- $encoding：可选参数，表示要使用的字符编码。默认值为ini_get("default_charset")，即当前脚本的默认编码。
- $double_encode：可选参数，表示是否将现有实体引用进行转换。默认值为true，表示进行转换。
函数返回值为转换后的字符串，如果转换失败则返回false。
htmlspecialchars函数将以下五个字符转换为相应的HTML实体：
- &（和号）：转换为&
- "（双引号）：转换为"
- '（单引号）：转换为'
- <（小于号）：转换为<
- >（大于号）：转换为>
下面是一个使用htmlspecialchars函数的例子：
$str = 'This is a <b>bold</b> statement.'; echo htmlspecialchars($str);
输出结果为：
This is a <b>bold</b> statement.
可以看到，htmlspecialchars函数将字符串中的尖括号转换为<和>实体，以防止它们被解析为HTML标记。
除了将特殊字符转换为HTML实体外，htmlspecialchars函数还可以用于避免跨站脚本攻击（XSS）。
在Web开发中，XSS攻击是指通过注入恶意脚本代码，利用网页漏洞攻击终端用户的浏览器。攻击者可以在网页上注入JavaScript脚本，以窃取用户的敏感信息（如cookies、会话标识符等）或者直接在用户浏览器上执行恶意操作。
例如，如果用户在表单中输入以下内容：
<script>alert('hello');</script>
如果应用程序没有对用户输入进行过滤，将该输入输出到页面上时，就会执行alert('hello')操作，弹出一个提示框。如果攻击者成功地注入了一段恶意的脚本，就可以在用户的计算机上实现非法操作。
为了避免XSS攻击，可以在输出用户输入之前，使用htmlspecialchars函数对特殊字符进行编码，以确保在页面上显示的文本不会被执行为脚本代码。例如：
echo 'Hello, ' . htmlspecialchars($_GET['name']) . '!';
在这个例子中，用户输入的值被视为未知并且潜在的恶意数据，因此在输出之前，将它进行了编码。通过这种方式，可以使得输出的文本不会被误解为脚本，避免攻击。
在实际开发中，为了提高Web应用程序的安全性，应该尽可能避免使用用户输入的值来构建HTML标记。如果必须使用，应该使用htmlspecialchars等函数对用户输入进行过滤和编码，以确保安全性。