1、html_entity_decode()：把html实体转换为字符。
Eg：$str = "just atest & 'learn to use '";
echo html_entity_decode($str);
echo "<br>";
echo html_entity_decode($str,ENT_QUOTES);
echo "<br>";
echo html_entity_decode($str,ENT_NOQUOTES);
输出如下：
just a test & 'learn to use '
just a test & 'learn to use '
j
在PHP编程中，处理字符串和数据安全是至关重要的任务，特别是在HTML上下文中。本文将深入探讨四个常用的字符串处理函数：html_entity_decode()、htmlentities()、addslashes()和htmlspecialchars()，以及它们在防止XSS（跨站脚本攻击）和其他安全问题中的作用。
1. **html_entity_decode()**
html_entity_decode()函数用于将HTML实体转换回原始字符。例如，"&"会转换成"&"。在上述示例中，$str变量包含一个HTML实体，调用html_entity_decode()函数后，实体被转换为对应的字符。参数ENT_QUOTES和ENT_NOQUOTES分别表示是否转义双引号和单引号。默认情况下，ENT_COMPAT会转义双引号但不转义单引号。
2. **htmlentities()**
相反，htmlentities()函数将字符转换为HTML实体，有助于防止XSS攻击。它将特定字符如"&"、""、"'"和"<"等转换为HTML实体，确保这些字符在浏览器中不会被解析为HTML代码。在例子中，三个不同的选项展示了如何处理双引号和单引号。
3. **addslashes()**
addslashes()函数在某些预定义字符前添加反斜杠，主要用于在SQL查询中预防SQL注入。当magic_quotes_gpc配置开启时，PHP会自动对用户输入的数据进行此操作。但是，由于magic_quotes_gpc已废弃，现在不推荐直接使用addslashes()，而是使用预处理语句或PDO来处理SQL数据。示例中展示了如何使用addslashes()给字符串添加反斜杠。
4. **stripslashes()**
stripslashes()函数用于移除由addslashes()添加的反斜杠。当处理已由magic_quotes_gpc转义的数据时，这个函数非常有用，避免了双重转义的问题。在示例中，我们看到如何使用stripslashes()去除字符串中的反斜杠。
5. **htmlspecialchars()**
htmlspecialchars()函数与htmlentities()类似，但转换的字符较少。它主要针对XSS攻击，将一些预定义的字符转换为HTML实体，确保它们在浏览器中以纯文本显示，而不是作为HTML代码执行。示例中展示了如何使用不同的选项来处理双引号和单引号。
6. **htmlspecialchars_decode()**
htmlspecialchars_decode()函数则是将由htmlspecialchars()函数编码的HTML实体还原为原始字符。这在需要将HTML安全编码的字符串恢复为可读形式时很有用。不过，这个函数不会处理所有HTML实体，只解码特定的预定义实体。
这些函数在处理用户输入、防止安全漏洞和保持数据一致性方面发挥着重要作用。了解何时使用它们以及它们的正确用法对于编写安全的PHP代码至关重要。在实际开发中，应结合其他安全策略，如过滤输入、验证数据和使用预处理语句，以构建更健壮的应用程序。
