htmlspecialchars & ENT_QUOTES 不起作用？

Question

基本上，在显示来自 MySQL 数据库的数据时，我下面有一个 htmlspecialchars() 函数，该函数应该将单引号和双引号转换为其安全实体。我遇到的问题是查看源代码，它只是转换 < > & 当我还需要它来转换单引号和双引号时。

//sanitize data from db before displaying on webpage
function htmlsan($htmlsanitize){
    return $htmlsanitize = htmlspecialchars($htmlsanitize, ENT_QUOTES, 'UTF-8');
}

然后，当我想使用时，我会这样做：

htmlsan($row['comment']);

有人能告诉我为什么它不转换单引号和双引号吗？

更新

奇怪的是 htmlsan() 用于电子邮件中的评论，当我查看电子邮件的源代码时，它会转换它们，似乎它不会转换单个/在网页上显示时数据库中的双引号。我的数据库排序规则也设置为 utf8_general_ci 并且我声明我在数据库连接等上使用 utf8。

Answer 1

你具体是如何测试它的？

<?php

//sanitize data from db before displaying on webpage
function htmlsan($htmlsanitize){
    return $htmlsanitize = htmlspecialchars($htmlsanitize, ENT_QUOTES, 'UTF-8');
}

var_dump(htmlsan('<>\'"'));

... 打印：

string(20) "<>'""

我的猜测是您的输入字符串来自 Microsoft Word 并包含印刷引号：

var_dump(htmlsan('“foo”')); // string(9) "“foo”" 

如果您确实需要出于某种原因转换它们，则需要 htmlentities() 而不是 htmlspecialchars()：

var_dump(htmlentities('“foo”', ENT_QUOTES, 'UTF-8')); // string(17) "“foo”"

更新#1

好吧，是时候进行一些适当的测试了。在 comment 数据库字段中输入单引号 (')，并在检索时运行以下代码：

var_dump(bin2hex("'"));
var_dump(htmlspecialchars("'", ENT_QUOTES, 'UTF-8'));
var_dump(bin2hex($row['comment']));
var_dump(htmlspecialchars($row['comment'], ENT_QUOTES, 'UTF-8'));

它应该打印以下内容：

string(2) "27"
string(6) "'"
string(2) "27"
string(6) "'"

请更新您的问题并确认您是否运行这个测试得到了相同或不同的输出。

更新 #2

请仔细查看您声称获得的输出：

string(6) "'"

这不是一个包含 6 个字符的字符串。您查看的不是真实输出：您查看的是浏览器渲染的输出。我很确定您得到了预期的结果，即 string(6) "'"。如果您使用网络浏览器渲染 '，它将变为 '。使用浏览器中的“查看源代码”菜单来查看真实的输出。

Answer 2

当您使用 Firebug 查看源代码时，Firebug 会像 Web 浏览器显示它一样显示它，我认为它会显示源代码，就像您在浏览器菜单栏中查看源代码一样。头痛是习得的，并且会被记住。感谢大家的宝贵时间和投入。

Answer 3

不确定这是否会产生任何影响，但您是否尝试删除 $htmlsanitize.

function htmlsan($htmlsanitize){
    return htmlspecialchars($htmlsanitize, ENT_QUOTES, 'UTF-8');
}

Answer 4

有同样的问题。我的数据库使用 utf-8_unicode_ci ，我的 html 字符集使用 utf-8，并且 htmlentities 只转换除引号之外的所有内容。我认为在 db 和 html 中使用相同的字符集可以正常工作，但事实并非如此。所以我将 html 上的字符集更改为 iso-8859-1 并且它起作用了。我不知道为什么，但它有效。我的数据库仍然使用utf-8_unicode_ci。

Answer 5

使用

htmlentities($htmlsin, ENT_QUOTES, 'UTF-8');

or

mb_convert_encoding($htmlsan, "HTML-ENTITIES", "UTF-8");

可能会做你想要的事情。