SQLSRV中含引号产品名嵌入HTML div的转义问题咨询

这个问题我之前也碰到过，引号溢出确实挺头疼的，其实用PHP内置的转义函数就能轻松解决！核心思路就是把产品名称里的HTML特殊字符（包括单/双引号）转换成浏览器能正确解析的实体编码，既保留原本的内容，又不会破坏div标签的结构。

具体处理方案 #

1. 当产品名称作为div的文本内容时 #

直接用htmlspecialchars()函数处理即可，它会把&、<、>、"这些特殊字符转成实体编码：

while( $row = sqlsrv_fetch_array( $stmt, SQLSRV_FETCH_ASSOC) ) {
    // 转义HTML特殊字符，默认会处理双引号
    $produs = htmlspecialchars($row['product_name']);
    // 安全输出到div中
    echo "<div class='product-item'>$produs</div>";
}

2. 当产品名称作为div的属性值时 #

如果要把产品名称放到div的属性里（比如title、data-name），记得给htmlspecialchars()加上第二个参数ENT_QUOTES，这样能同时转义单引号和双引号，避免不管属性用单/双引号都出现溢出：

while( $row = sqlsrv_fetch_array( $stmt, SQLSRV_FETCH_ASSOC) ) {
    // ENT_QUOTES 同时转义单引号和双引号
    $produs = htmlspecialchars($row['product_name'], ENT_QUOTES);
    // 不管属性用单引号还是双引号都安全
    echo "<div class='product-item' title='$produs' data-name=\"$produs\">查看产品</div>";
}

为什么这个方法靠谱？ #

手动替换单/双引号很容易漏掉其他特殊字符（比如<、>、&），而htmlspecialchars()是PHP专门为处理HTML输出安全设计的函数，能全面处理所有可能破坏HTML结构的字符，确保输出的内容既正确显示，又不会引发标签异常。

内容的提问来源于stack exchange，提问作者TakeDown