在編寫 PHP 程序時，我們通常有多種方式來生成 HTML 輸出。PHP 中經常使用 echo 和 print 函數輸出 HTML 標記，但是，我們需要小心處理 HTML 和 PHP 代碼中的轉義字符，以避免 XSS 攻擊和其他安全問題。

一些常見的轉義字符包括 < (小于號), > (大于號), " (雙引號), ' (單引號), & (和號) 等。這些字符在 HTML 中都有各自的含義，可以影響 HTML 的結構和樣式。例如，在 <p> 標記中插入字符串 "Hello World!" 時，字符串中的雙引號可能會突破 "p" 標記的開啟，導致出現不安全的 HTML 片段。

<p>Hello "World!"</p>
Hello "World!"

為了避免這種情況的發生，我們需要使用 PHP 函數來轉義這些字符，以確保它們在 HTML 輸出中的正確性。這些函數包括 htmlspecialchars() 函數和 htmlentities() 函數。

htmlspecialchars() 函數可以將 HTML 的特殊字符轉換為安全的實體字符，并防止 XSS 攻擊。

// 將實體字符插入到 HTML 輸出中
$str = "John & Jane";
echo htmlspecialchars($str);

結果：

John & Jane

htmlentities() 函數和 htmlspecialchars() 函數類似，但它們可以將所有字符都轉換為實體，而不僅僅是 HTML 的特殊字符。這意味著，您可以在 HTML 輸出中對所有字符進行轉義，以確保安全性。

// 將所有字符轉換為實體
$str = "John & Jane";
echo htmlentities($str);

結果：

John & Jane <script>alert('Hello World!')</script>

在編寫 PHP 和 HTML 代碼時，我們必須時刻謹記在輸入和輸出值時要進行正確的轉義處理。如果我們忽略這個問題，可能會導致安全漏洞和 XSS 攻擊。