PHP htmlspecialchars() vs strip_tags() 使用注意事項

04三月

PHP htmlspecialchars() vs strip_tags() 使用注意事項

PHP 裡有 htmlspecialchars() 及 strip_tags(),
這兩個函式用途很像,都是在作 HTML 輸出消毒,
但這兩者還是有一點點不同,可以這麼來理解它…

strip_tags() 是用來防君子,所有正規合法的 html 或 php 標籤,都將被濾除。
而 htmlspecialchars() 則是用來防小人,所有想借機偷渡的語法,也會被抓出來,例如 onmouseover="xxxx"。

所以結論是 strip_tags() 可以不作 (如果不在意輸出的內容),
但 htmlspecialchars() 一定要作。

strip_tags()
http://www.php.net/manual/en/function.strip-tags.php

htmlspecialchars()
http://www.php.net/manual/en/function.htmlspecialchars.php

Posted by chihwen  Posted on 04 三月 
  • PHP
  • Post Comments 0