htmlspecialchars 在数据内容中不起作用

Question

我正在使用引导选择来显示类别，并且我正在使用 htmlspecialchars 清理这些类别，但是由于某种原因，当它位于数据内容属性中时它不起作用，因为我有一个名为的类别并且浏览器将其解释为是一个真正的 html 标签而不是一个字符串。我曾尝试使用 htmlentitites 但它也不起作用......我也有关于使用 urlencode 但由于我使用的是引导选择我不知道在哪里解开它......

这是我的代码：

"<option value='$row[id]' data-content='<span class=\"glyphicon glyphicon-stop\" 
style=\"color:$row[cor]\"></span> <span style=\"text-align:left\"> 
".htmlspecialchars("$row[nome]",ENT_QUOTES)." 
</span>'>".htmlspecialchars("$row[nome]",ENT_QUOTES)."</option>";

As you can see all categories are showing (they have wierd names for testing purposes) but the last one that has the name of </a> is not showing up and has you can see in the source the </a> is being interpred as html and not as a string as the other categorie names

谢谢！

Answer 1

< 被解释为 HTML 标记的开始。
< 是 HTML 编码的实体，将被解释为字符“

如果您将看起来像 HTML 的内容放入属性中，则需要对其进行 HTML 编码以避免破坏 HTML 属性。例如，属性被引号包围，如果您想在属性内使用引号作为值，则需要"：

attribute=""value""

bootstrap-select 将data-content 属性的值用作 HTML。
所以data-content="<span>" 最终会成为 HTML 元素 <span>。

如果您希望它以 text“”的形式结束，则需要提供呈现文本“”的 HTML，即<span>。由于您将其放入 HTML 属性中，因此您需要将 that 的 HTML 编码为：

data-content="<span>"

☝️ 这是<span> 的正确 HTML 编码值（因为它在一个属性中），当解释为 HTML 时（就像bootstrap-select 一样）呈现为文本“”。

所以：

$attrTemplate = '<span class="glyphicon glyphicon-stop" style="color:%s"></span>
                 <span style="text-align:left">%s</span>';
$attr = sprintf($attrTemplate, htmlspecialchars($row['cor']), htmlspecialchars($row['nome']));

$optionTemplate = '<option value="%s" data-content="%s">%s</option>';
printf($optionTemplate, htmlspecialchars($row['id']), htmlspecialchars($attr), htmlspecialchars($row['nome']));

如您所见，您想要保留原样进入 HTML 的所有内容都必须经过 HTML 编码（此处使用 htmlspecialchars）。

另见The Great Escapism (Or: What You Need To Know To Work With Text Within Text)。