当不输出到html时使用htmlspecialchars

Question

例如，如果我使用$id= $_GET['id'];，然后我使用该$id作为if语句的条件，我必须使用$id上的htmlspecialchars？

例如

$id = htmlspecialchars($_GET['id']); 

if($id) { 
//code 
} 

是否需要htmlspecialchars，即使没有输出html？

Answer 1

号你只需要HTML转义数据，如果你将其输出到HTML上下文，数据可以含有在HTML中具有特殊含义的字符（如<，>，"）和你做不希望这些字符打破你的HTML结构。请参阅The Great Escapism (Or: What You Need To Know To Work With Text Within Text)。