为什么PHP中htmlspecialchars输出"等编码而非实际引号？

你遇到的引号转义异常是二次转义导致的，核心问题出在入库前的过滤逻辑：

• PHP内置的FILTER_SANITIZE_STRING过滤器默认会自动把单双引号转换为HTML实体字符，导致你存入数据库的内容已经是编码后的"、'，而非用户输入的原始引号
• 输出时你又调用htmlspecialchars/htmlentities做二次转义，会把实体中的&再次编码为&，最终浏览器渲染出来就会直接显示"这类实体代码，而非正常引号

1. 调整入库前的过滤规则 #

入库阶段仅做数据格式校验、敏感字符过滤，不要做HTML实体转义，HTML转义是输出到前端页面时才需要执行的逻辑。
你可以在原有filter_var参数中追加FILTER_FLAG_NO_ENCODE_QUOTES，关闭该过滤器默认的引号转义逻辑：

$contact_postal = filter_var($_POST['contact-postal'], FILTER_SANITIZE_STRING, FILTER_FLAG_STRIP_HIGH | FILTER_FLAG_NO_ENCODE_QUOTES);
$contact_address = filter_var($_POST['contact-address'], FILTER_SANITIZE_STRING, FILTER_FLAG_STRIP_HIGH | FILTER_FLAG_NO_ENCODE_QUOTES);
$contact_person = filter_var($_POST['contact-person'], FILTER_SANITIZE_STRING, FILTER_FLAG_STRIP_HIGH | FILTER_FLAG_NO_ENCODE_QUOTES);
$contact_person_phone = filter_var($_POST['contact-person-phone'], FILTER_SANITIZE_STRING, FILTER_FLAG_STRIP_HIGH | FILTER_FLAG_NO_ENCODE_QUOTES);
$contact_additional_details = filter_var($_POST['contact-additional-details'], FILTER_SANITIZE_STRING, FILTER_FLAG_STRIP_HIGH | FILTER_FLAG_NO_ENCODE_QUOTES);

如果你的运行环境是PHP 8.1及以上版本，FILTER_SANITIZE_STRING已经被官方弃用，建议改用strip_tags结合自定义规则实现过滤，避免依赖废弃特性。

2. 批量修复已入库的脏数据 #

对于已经存在数据库中的编码后实体数据，可以用html_entity_decode批量处理转义回原始字符：

// 示例：单条数据修复逻辑，批量处理可遍历数据库对应字段执行即可
$raw_value = html_entity_decode($db_value, ENT_QUOTES, 'UTF-8');

3. 输出逻辑无需大幅调整 #

你现有的输出转义逻辑本身是符合安全规范的，只要数据库中存储的是用户原始输入内容，输出时调用htmlspecialchars($var, ENT_QUOTES)转义后，浏览器会自动把转义后的实体渲染为正常的引号字符，不会直接显示实体代码。

内容的提问来源于stack exchange，提问作者MailCarrier