我是否應該使用ENT_QUOTES和htmlspecialchars

Question

我使用php 5.4.4作為UTF-8運行，我不確定我是否正在使用htmlspecialchars。

我的字符串/變量看起來像這樣：

$text = "<p><span class='clx'>By:</span> ".htmlspecialchars($foo)."</span></p>";
echo $text;

我是否需要使用ENT_QUOTES或者僅在必須ENT_QUOTES某些內容時才需要

例如： href="$foo" or id='$foo' ？

Atm，om只在封閉的html標簽內使用htmlspecialchars而不是屬性。

只需將字符串內的var連接到<p>標記和</p>標記內

謝謝

Answer 1

在從數據庫中獲取數據並將其插入到html元素中時，通常應該使用它。 這是因為來自數據的引用不會關閉值引用並弄亂html。

Answer 2

簡答：總是。

答案很長：我強烈推薦閱讀OWASP的PHP Top 5和PHP Security Cheat Sheet

OWASP Top 5涵蓋了今天困擾PHP的五個最嚴重和最常見的安全漏洞：

• 遠程執行代碼
• 跨站點腳本（XSS）[一個htmlspecialchars試圖阻止]
• SQL注入
• PHP配置
• 文件系統攻擊

它演示了常見的錯誤和解決方案，對於任何PHP開發人員甚至考慮托管實時網站都非常值得一讀。