如何让Smarty 4.2.0对所有输出字符串自动应用htmlentities？

一、排查$escape_html=true不生效的原因 #

1. 确认设置时机：必须在实例化Smarty后、赋值变量和渲染模板前设置该属性，示例代码：

$smarty = new Smarty();
// 先设置全局转义开关
$smarty->escape_html = true;
// 再进行变量赋值和模板渲染
$smarty->assign('user_input', '<script>alert("test")</script>');
$smarty->display('your_template.tpl');

2. 检查模板是否存在跳过转义的语法：如果模板中变量使用了nofilter修饰符（如{$user_input nofilter}），会强制跳过全局转义，需要移除该修饰符。
3. 验证编译文件是否正确生成：删除编译目录下的所有文件后，重新访问页面，确认新生成的编译文件中包含转义逻辑（比如编译后的PHP代码里有htmlspecialchars()或htmlentities()相关调用）。
4. 排查是否有代码覆盖设置：检查项目中其他初始化Smarty的代码，是否存在后续将$escape_html重新设为false的情况。

二、全局自动转义的替代方案 #

如果$escape_html开关仍不生效，可以通过注册默认修饰符实现全局转义：

$smarty = new Smarty();
// 注册默认修饰符，对所有变量输出应用htmlentities
$smarty->registerDefaultModifiers(['htmlentities']);

• 若某些变量不需要转义（比如可信的HTML内容），可以在模板中使用|raw修饰符跳过：{$trusted_html|raw}

三、逐个模板修改的方式（备选） #

如果全局方案暂时无法生效，可对单个变量添加转义修饰符，格式为：

{$user_input|htmlentities}

• 也可以使用Smarty内置的escape修饰符，效果类似：{$user_input|escape:'html'}

内容的提问来源于stack exchange，提问作者Heinz