PHP函数：`htmlspecialchars`

htmlspecialchars 是一个在 PHP 中常用的函数，用于将字符串中的特殊字符转换为 HTML 实体，防止跨站脚本攻击（XSS）攻击。它可以将一些特殊字符如 <, >, &, " 和 ' 转换成对应的 HTML 实体，这样在 HTML 页面上显示这些字符时就不会发生意外的解析。

htmlspecialchars 函数有两个参数， 个参数是要转换的字符串，第二个参数是可选的，用于指定转换的规则，默认是 ENT_COMPAT，可以指定为 ENT_QUOTES 或 ENT_NOQUOTES。ENT_QUOTES 表示转换所有的单引号和双引号，而 ENT_NOQUOTES 表示不转换任何引号。

下面是一个使用 htmlspecialchars 函数的示例：

$str = '<a href="https://example.com">Link</a>';
echo htmlspecialchars($str);

输出结果为：

<a href="https://example.com">Link</a>

可以看到，原字符串中的 < 被转换成了 &lt;，> 被转换成了 &gt;，" 被转换成了 &quot;。

使用 htmlspecialchars 函数可以有效地防止 XSS 攻击。XSS 攻击主要通过在网页中注入恶意脚本代码来实现，而如果在输出时使用 htmlspecialchars 进行转义处理，可以将恶意脚本代码当作普通字符来展示，从而避免了脚本的执行。

需要注意的是，htmlspecialchars 函数只会将部分特殊字符转换成 HTML 实体，而不会对整个 HTML 标签进行转义。因此，在将用户输入插入 HTML 页面时，仍然需要进行其他的安全处理，如过滤和验证用户输入。