filter_var vs htmlentities vs htmlspecialchars

Question

免责声明

这不是关于我们是否应该转义数据库输入的问题。 严格地看标题中三个功能之间的技术差异。

这个问题讨论了htmlentities()和htmlspecialchars()之间的区别。 但是，它并没有真正讨论filter_var() ，我在Google上发现的信息更像是“确保在回显之前避免用户输入！”

我的问题是：

• 为什么在filter_var()通常使用htmlspecialchars()和htmlentities() filter_var() ？
• 使用filter_var()是否filter_var()性能产生影响？
• filter_var()是否不如其他两个选项那么安全？
• 是否有任何其他理由不被之前使用以下方法来编码用户输入echod

filter_var($var, FILTER_SANITIZE_FULL_SPECIAL_CHARS);

Answer 1

我的猜测（关于是否采用不足）可能是因为Filter扩展自v5.2起才默认启用，而html *方法的使用时间更长。