摘要：示例你是谁啊，大几都老梁做做没结果你是谁啊，大几都老梁做做没对反斜杠进行转换结果你是谁啊，大几都老梁对斜杠进行过滤入库时进行检测攻击。打印你是谁啊，大几都老梁做做没编码双引号和单引号。
htmlspecialchars() 函数把预定义的字符转换为 HTML 实体。
预定义的字符是：
& （和号）成为 &
" （双引号）成为 "
" （单引号）成为 "
< （小于）成为 <
> （大于）成为 >
注意：这个函数不能对斜杠/，反斜杠做处理。
示例：
$content = "你是/谁啊，大几都"老梁"做做&>women没"; $content = htmlspecialchars($content); // 结果： 你是/谁啊，大几都"老梁"做做&>women没 // 对反斜杠进行转换 $content = preg_replace("//", "\", $content); // 结果：你是/谁啊，大几\都"老梁 // 对斜杠进行过滤,入库时进行XSS检测攻击。 $content = preg_replace("///", "/", $content);一、HTML 实体
在 HTML 中，某些字符是预留的。
在 HTML 中不能使用小于号（<）和大于号（>），这是因为浏览器会误认为它们是标签。
如果希望正确地显示预留字符，我们必须在 HTML 源代码中使用字符实体（character entities）。
字符实体类似这样：
&entity_name;或者entity_number;
如需显示小于号，我们必须这样写：< 或 <
提示：使用实体名而不是数字的好处是，名称易于记忆。不过坏处是，浏览器也许并不支持所有实体名称（对实体数字的支持却很好）。
二、PHP htmlspecialchars() 函数htmlspecialchars(string,flags,character-set,double_encode)
flags 可选。规定如何处理引号、无效的编码以及使用哪种文档类型。
可用的引号类型：
ENT_COMPAT - 默认。仅编码双引号。
ENT_QUOTES - 编码双引号和单引号。
ENT_NOQUOTES - 不编码任何引号。
character-set:
UTF-8 - 默认。ASCII 兼容多字节的 8 位 Unicode
POCO 的后端为GBK，所以用这个函数的时候，尽量使用编码，而默认的编码为UTF-8
GB2312 - 简体中文，国家标准字符集
double_encode 可选。布尔值，规定了是否编码已存在的 HTML 实体。
TRUE - 默认。将对每个实体进行转换。
FALSE - 不会对已存在的 HTML 实体进行编码。
示例：
$content = "women"s life" . "你是/谁啊，大几都"老梁"做做&>women没"; // 如果使用默认的参数，则不会对单引号进行转换。 $new_str = htmlspecialchars($content ); 打印： women"s life你是/谁啊，大几都"老梁"做做&>women没 // ENT_QUOTES 编码双引号和单引号。 $new_str = htmlspecialchars($content, ENT_QUOTES); women's life你是/谁啊，大几都"老梁"做做&>women没三、htmlspecialchars_decode解码
htmlspecialchars_decode(string,flags)
string 必需。规定要解码的字符串。
flags 可选。规定如何处理引号以及使用哪种文档类型。
可用的引号类型：
ENT_COMPAT - 默认。仅解码双引号。
ENT_QUOTES - 解码双引号和单引号。
ENT_NOQUOTES - 不解码任何引号。
测试：
解码： $str = ‘women's life你是/谁啊，大几都"老梁"做做&>women没’; // 只解码双引号 $new_str = htmlspecialchars_decode($new_str); dump($new_str); 打印： women's life你是/谁啊，大几都"老梁"做"做&>women没 // 解码双引号和单引号。 $content = "women"s life" . "你是/谁啊，大几都"老梁"做"做&>women没"; $new_str = htmlspecialchars($content, ENT_QUOTES, gb2312, true); $new_str = htmlspecialchars_decode($new_str, ENT_QUOTES); print_r($new_str); 打印： women"s life你是/谁啊，大几都"老梁"做"做&>women没四、函数封装
将上边的字符串预定义转为实体封装为一个方法，以后可以直接调用：
$str = "women"s life" . "你是/谁啊，大几都"老梁"做做&>women没"; // 1.将常用的预定义字符转为实体 $new_str = htmlspecialchars($str, ENT_QUOTES, gb2312, true); // 2.替换反斜杠 $new_str = preg_replace("//", "\", $new_str); // 3.替换斜杠 $content = preg_replace("///", "/", $content); // 打印结果： women's life你是/谁啊，大几\都"老梁"做做&>women没