htmlentities() vs htmlspecialchars(): PHP函数对决

htmlentities() vs. htmlspecialchars(): 带示例的详细指南

您是否曾想过，为什么PHP中有两个看似功能相同的函数？htmlentities()和htmlspecialchars()就像一对双胞胎兄弟：外表相似，但性格不同。在它们之间做出选择，要么成为您的超级英雄技能，要么成为头痛的根源。

如果您曾在Stack Overflow上问过这个问题（有成千上万的人问过！），您知道答案并不总是显而易见的。今天，我们将一劳永逸地弄清楚每个函数的用途、何时使用它们，以及如何避免编码问题。

开始吧！

这些函数到底是做什么的？

这两个函数都用于转义HTML字符。简单来说：它们将特殊字符转换为其HTML实体，以便浏览器将其显示为文本，而不是将其解释为代码。

例如，字符<被转换为<。这对于以下方面至关重要：

• 安全性 — 防范XSS攻击（跨站脚本攻击）
• 正确显示 — 确保您的文本不会“破坏”HTML标记

但问题在于：htmlspecialchars()仅处理四个字符，而htmlentities()处理所有已知的HTML实体。

htmlspecialchars(): 轻量级武器

htmlspecialchars()函数仅转换以下字符：

• &（和号） → &
• "（双引号） → "（如果未设置ENT_NOQUOTES标志）
• '（单引号） → '（如果设置了ENT_QUOTES标志）
• <（小于号） → <
• >（大于号） → >

这组字符足以应对99%的情况。为什么？因为只有这些字符在HTML标记中具有特殊含义，并且可能破坏您的页面。

<?php$user_input = '<script>alert("XSS")</script>';echo htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');// 输出: &lt;script&gt;alert(&quot;XSS&quot;)&lt;/script&gt;?>

htmlentities(): 重型武器

htmlentities()是一个完美主义者，它将所有具有HTML等效项的字符都转换为实体。例如，货币符号（€, £, ¥）、数学符号（∑, ∞, √）甚至箭头（←, ↑）。

<?php$text = '价格: 50€';echo htmlentities($text, ENT_QUOTES, 'UTF-8');// 输出: 价格: 50&euro;?>

听起来很方便，对吧？但有一个问题——性能。htmlentities()运行速度较慢，因为它处理更多的字符。如果您的网站处理数千行文本，差异就会变得明显。

关键区别：编码

现在我们来到最重要的部分。这两个函数都接受第三个参数——编码。如果您不指定它，PHP将使用php.ini中default_charset指令的值（通常是UTF-8）。

但htmlentities()对编码特别敏感。如果您指定了错误的编码，函数可能会错误地转换字符。例如，使用ISO-8859-1时，某些UTF-8字符将会丢失。

<?php// 不好的示例：未指定编码echo htmlentities('你好，世界！'); // 可能会发出警告

// 好的示例：始终指定编码echo htmlentities('你好，世界！', ENT_QUOTES, 'UTF-8');?>

何时使用哪个？