如何防止PHP在字符串拼接时自动转换HTML实体？

安全阿岳

2026-8-1

解决PHP拼接URL字符串时HTML实体自动转换的问题

问题原因

你遇到的问题本质是浏览器的HTML实体解析机制导致的：当你输出类似&section=的字符串到HTML页面时，浏览器会把&sect（&+section的前4个字符）识别为合法的HTML实体§（对应符号§），进而自动转换显示；同理&quote=会被解析为"（对应符号"），最终出现不符合预期的输出。

解决方案（无需反向转换）

1. 使用`htmlspecialchars()`转义输出

这是最直接的方式，将需要输出的URL片段用htmlspecialchars()处理，它会把&转义为&，避免浏览器误解析为其他实体：

echo htmlspecialchars('&section=') . '<br>';

$a = '&a';
$b = 'mplitude=';
echo htmlspecialchars("{$a}{$b}") . '<br>';

echo htmlspecialchars(sprintf("%s%s", '&quote', '='));

输出到HTML后会被浏览器正确解析为：

&section=
&amplitude=
&quote=

2. 用`http_build_query()`自动生成URL参数

如果是要拼接完整的URL参数，推荐使用PHP内置的http_build_query()函数，它会自动处理参数分隔符&的转义，避免手动拼接的问题：

// 定义参数数组
$params = [
    'section' => '',
    'amplitude' => '',
    'quote' => ''
];
// 生成URL参数字符串
$queryString = http_build_query($params);
// 转义后输出到HTML
echo htmlspecialchars($queryString) . '<br>';

输出结果为：section=&amplitude=&quote=，完全符合预期。