php - 带有 ENT_QUOTES 和 UTF-8 的 htmlentities 有什么作用？

Question

我一直使用简单的 htmlentities($_POST['string']); 来清除任何 XSS 攻击的数据。最近我看到有人用这个:

htmlentities($_POST['string'], ENT_QUOTES, 'UTF-8');

与 htmlentities() 相比，使用它的优势或目的是什么。

也不知道它是否相关，但我总是在页面顶部使用元 UTF-8。

Answer 1

ENT_QUOTES 如果要将数据替换为 HTML 属性则需要，例如

echo '<input type="text" value="' . htmlentities($string, ENT_QUOTES) . '">";

这确保引号被编码，因此它们不会过早地终止 value="..." 属性。

如果您的页面使用 UTF-8 字符集，则

UTF-8 是必需的，因为默认使用 ISO-8859-1 编码。这些编码需要匹配，否则用户会看到奇怪的字符。