當不輸出到html時使用htmlspecialchars

Question

例如，如果我使用$id= $_GET['id'];，然後我使用該$id作爲if語句的條件，我必須使用$id上的htmlspecialchars？

例如

$id = htmlspecialchars($_GET['id']); 

if($id) { 
//code 
} 

是否需要htmlspecialchars，即使沒有輸出html？

Answer 1

號你只需要HTML轉義數據，如果你將其輸出到HTML上下文，數據可以含有在HTML中具有特殊含義的字符（如<，>，"）和你做不希望這些字符打破你的HTML結構。請參閱The Great Escapism (Or: What You Need To Know To Work With Text Within Text)。