Справочник PHP

htmlspecialchars

Заменяет специальные символы HTML на безопасные обозначения.

Синтаксис

htmlspecialchars(string $string, int $flags = ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401, ?string $encoding = null): string

Параметр	Тип	Описание
$string	string	Исходная строка.
$flags	int	Необязательный. Какие кавычки заменять; по умолчанию и одинарные, и двойные.
$encoding	?string	Необязательный. Кодировка; по умолчанию UTF-8.

stringСтрока, безопасная для вывода в HTML.

Теги превращаются в обычный текст:

<?php
 
echo htmlspecialchars('<script>alert(1)</script>');

Результат:

&lt;script&gt;alert(1)&lt;/script&gt;

Кавычки в значении атрибута:

<?php
 
$name = 'Tom "The Cat"';
 
echo '<input value="' . htmlspecialchars($name) . '">';

Результат:

<input value="Tom &quot;The Cat&quot;">

Это главная защита от XSS: экранируйте всё, что пришло от пользователя и выводится на страницу. Экранируйте при выводе, а не при сохранении в базу.

Безопасность — Основы безопасности сайта на PHP — XSS и экранирование, SQL-инъекции, хеширование паролей, CSRF-токены и проверка входных данных.