php - 应该替换哪些字符以避免输出 HTML？

Question

我在网站中有一些用户输入，以后用 PHP 输出该输入时我不想允许 HTML 。

我认为唯一危险的字符是<, >, /(slash) 和\(backslash)。

我对吗？

因此，例如，如果我替换<为<是否足以防止 HTML 被输出？

Answer 1

只需使用内置函数htmlspecialchars()，你就会很好。请注意，您还应该始终添加编码参数。

例如：

echo htmlspecialchars($unsafeString, ENT_QUOTES, 'UTF-8');