Wie kann man HTML sicher aus einem PHP-Programm ausgeben?

Wenn man diesen Job in PHP macht, kann man auf diese Art von Problem stoßen:

<span title="<?php echo $variable;?>">...

Das Problem ist, wenn $variable enthält doppelte Anführungszeichen, sollte geändert werden in \"

Und das ist noch nicht die ganze Geschichte:

<span title="<?php echo $variable;?>">...

In diesem Fall müssen wir einfache Anführungszeichen in ändern \'aber lassen Sie doppelte Anführungszeichen unverändert.

Darüber hinaus können Variablenwerte spitze Klammern < und > enthalten, die HTML stören.

Wie können wir also die Ausgabe für HTML sicher umgehen?

Sie möchten immer Dinge innerhalb von HTML-Attributen HTML-codieren, was Sie tun können htmlspecialchars:

<span title="<?php echo htmlspecialchars($variable); ?>">

Wahrscheinlich möchten Sie den zweiten Parameter ($quote_style) Zu ENT_QUOTES.

Das einzige potenzielle Risiko ist das $variable möglicherweise bereits codiert, so dass Sie dürfen den letzten Parameter setzen möchten ($double_encode) Zu false.