何时使用 htmlspecialchars() 函数？

Question

你好 我想知道什么时候是使用 htmlspecialchars() 的合适位置。是在将数据插入数据库之前还是从数据库检索数据时？

Answer 1

您应该仅在将数据回显为 HTML 时调用此方法。

不要将转义的 HTML 存储在数据库中；它只会让查询变得更烦人。
数据库应该存储您的实际数据，而不是其 HTML 表示形式。

Answer 2

每次在 HTML 中输出内容时，您都会使用 htmlspecialchars 每次，因此它会被解释为内容而不是 HTML。

如果您允许将内容视为 HTML，那么您至少会为错误打开大门，而最坏的情况下则可能会导致 XSS 黑客攻击。

Answer 3

保存用户输入数据库的确切内容。
然后当向公众显示它时，使用htmlspecialchars()，这样它就提供了一些xss保护。

Answer 4

指南 - 如何在 PHP 中使用 htmlspecialchars() 函数

首先，您必须了解 1 个简单的概念：渲染。

渲染是什么？
渲染是指 HTML 转换

<b>Hello</b>

为粗体，如 Hello。这就是渲染。

那么...何时使用 htmlspecialchars() 函数？

无论您想要在何处呈现 HTML 内容。
例如，如果您使用 JQuery 并执行以下操作：

$("#YourDiv").html("<b>Hello</b>");

div 内容将为 Hello。它将文本呈现为 HTML。

如果你想以这种方式显示消息（由用户编写）：

<b>Hello</b>

你必须输入：

$("#YourDiv").text("<b>Hello</b>");

这样，Hello 将永远不会被渲染。

如果您想将消息（由用户编写的）加载到文本框、文本区域等中...您必须输​​入：

<input type="text" class="Texbox1" value="">

<script>
$(".Textbox1").val("<b>Hello</b>");
</script>

这将

 <b>Hello</b>

毫无问题地显示在文本框内。

结论：

用户在表单等中输入的数据是什么...照常保存数据。
不要使用任何功能。如果用户发送 12345 则按原样保存。不要过滤任何东西。仅当您要向用户显示页面中的数据时才需要进行过滤。您，只有您决定是否要渲染用户编写的内容。 *记住这一点。

问候！