php - PHP htmlentities（指定了 UTF-8 编码）是否足以保护 XSS

Question

假设 PHP 中的模板代码是

<div>
  <? echo htmlentities($unfiltered_text, ENT_QUOTES, "UTF-8");
</div>

下面的代码安全ALL possible XSS吗？

不是，你能举个例子吗？谢谢。

Answer 1

是的，htmlentities 将转换所有在 HTML 中具有特殊含义的字符。