PHP中的htmlspecialchars和htmlentities函数使用说明
PHP中的htmlspecialchars和htmlentities函数都用于将字符串中的特殊字符转义，使其可以在HTML页面上正常显示。这些函数可以防止XSS攻击，更确切地说是跨站点脚本攻击，攻击者利用这些漏洞注入包含恶意JavaScript的HTML代码。在下文中，我们将详细了解这两个函数的区别以及如何使用它们。
htmlspecialchars函数
htmlspecialchars是PHP中用于将HTML实体转换为字符串的一种方法。该函数将HTML中的特殊字符（尤其是与HTML的标记相关的字符）转义为HTML实体序列。例如，如果您在HTML中使用< >之类的标记语言，htmlspecialchars将这些标记转义为HTML实体<、>，使其可以正常输出。
语法格式：
htmlspecialchars(string $string, int $flags = ENT_COMPAT | ENT_HTML401, string|null $encoding = ini_get('default_charset'), bool|null $double_encode = true):string
在此函数中，第一个参数（$ string）是必需的，表示您要转义的字符串。第二个参数（$ flags）是用于指定如何转义结果的标志。以下是convert_chars()函数的选项：
- ENT_QUOTES - 转义单引号和双引号。
- ENT_COMPAT - 转义双引号。
- ENT_NOQUOTES - 不转义任何引号。
- ENT_IGNORE - 忽略无效的代码单元序列。
- ENT_SUBSTITUTE - 替换无效的代码单元序列。
第三个参数$encoding表示输出字符串的编码方式，通常为UTF-8。第四个参数$double_encode表示是否将预定义实体和字符引用转义为实体。
示例：
$string = "I am a <strong>PHP Developer</strong>."; echo htmlspecialchars($string);
输出结果：
I am a <strong>PHP Developer</strong>.
在上面的例子中，htmlspecialchars()将所有的HTML实体转义为字符串。如上例，在浏览器中显示的结果:
I am a <strong>PHP Developer</strong>.
htmlentities函数
htmlentities与htmlspecialchars函数类似，也是将HTML实体转换为字符串的一种方法。但与htmlspecialchars函数不同，htmlentities函数不仅将HTML标记中的字符转义，还将所有其他HTML实体转义为字符串。例如，空格字符" "将被转换为" "。
语法格式：
htmlentities(string $string, int $flags = ENT_COMPAT | ENT_HTML401, string|null $encoding = ini_get('default_charset'), bool|null $double_encode = true):string
在此函数中，$string参数表示要转义的HTML。$flag的详细说明请参阅htmlspecialchars()函数。$encoding参数表示输出字符串的编码方式，通常为UTF-8。$double_encode参数表示是否将预定义实体和字符引用转义为实体。
示例：
$string = "I am a <strong>PHP Developer</strong>."; echo htmlentities($string);
输出结果：
I am a <strong>PHP Developer</strong>.
在上面的例子中，htmlentities()也将所有的HTML实体转义为字符串，并且转义实体数量比htmlspecialchars()函数多得多。
总结
使用PHP的htmlspecialchars和htmlentities函数可以将HTML的特殊字符转义为可见字符，以防止跨站点脚本攻击。区别在于htmlspecialchars()只转义HTML标记相关的字符，而htmlentities()也将其他HTML实体转义为字符串。了解标志、编码及其他参数的含义，可以更加便捷地使用这些函数。