esc_attr( string $text )

使用示例

• 示例1

  当转义接受URI的属性的值（如href和src）时，重要的是通过esc_url()传递值。如果只使用esc_attr()，代码可能仍然容易受到XSS攻击。（还要注意，当使用esc_url()时，您不需要同时使用esc_attr()。）

  <!-- 正确的: -->
  <img src="<?php echo esc_url( $src ); ?>" />
  
  <!-- 这样也行, 但 esc_attr() 是不必要的: -->
  <img src="<?php echo esc_attr( esc_url( $src ) ); ?>" />
   
  <!-- 不正确: -->
  <img src="<?php echo esc_attr( $src ); ?>" />
  
• 示例2

  转义$_POST数据输出的示例

  <?php $fname = ( isset( $_POST['fname'] ) ) ? $_POST['fname'] : ''; ?>
  <input type="text" name="fname" value="<?php echo esc_attr( $fname ); ?>">
  

• 示例3

  我不确定如果您要回显允许包含HTML实体的表单输入的值，因为它们丢失了，那么是否应该使用esc_attr()。例如，您可以从包含HTML实体的字符串开始（例如&），然后发现它们消失了（变成&）。

  用一个例子最容易解释：

  1.数据库中的值为Want to do a "br" tag? Do this: <br>';

  2.在页面表单input值内输出该值，代码如下

  <input type="text" value="<?php echo esc_attr($value);?>">

  这将生成类似HTML的

  <input value="Want to do a &quot;br&quot; tag? Do this: &lt;br>">

  3. 当浏览器显示时，它将解码HTML实体，向用户显示Want to do a "br" tag? Do this: <br>
  4. 当该表单提交回服务器时，浏览器将发送用户看到的值，即Want to do a "br" tag? Do this: <br>
  5. 如果你的数据库代码将用户的input按接收时的情况保存，它将保存为 Want to do a "br" tag? Do this: <br>

  注意到我们失去了HTML实体吗？我们一开始用 Want to do a "br" tag? Do this: <br>'; 但最后却变成 Want to do a "br" tag? Do this: <br>
  

  为了解决这个问题，esc_attr()应该对HTML实体进行双重编码；即产生这样的HTML：

  <input value="Want to do a &quot;br&quot; tag? Do this: &amp;lt;br&amp;gt;">

  注意到 <br> 标签已经被双重编码了。这意味着值 Want to do a "br" tag? Do this: <br> 将被显示给用户，从而得到提交，并在接下来保存。

  那么，对于允许有HTML实体的input，你应该使用什么函数？esc_textarea()

  下面是一个代码片段，显示了其中的区别。

  <?php
  $string_with_html_entities = 'Want to do a "br" tag? Do this: &lt;br>';
  ?>
  esc_attr: <input value="<?php echo esc_attr($string_with_html_entities);?>">

  这产生了以下HTML

  esc_attr: <input value="Want to do a &quot;br&quot; tag? Do this: &lt;br>">
  esc_textarea: <input value="Want to do a &quot;br&quot; tag? Do this: &amp;lt;br&amp;gt;">

  试试吧，你会发现第二种情况实际上是你想要的，如果你想在值中允许HTML实体。

• 示例4

  使用esc_attr()转义属性时，务必在属性值周围使用引号。否则，您的代码仍然容易受到XSS攻击。

  <!-- This is correct: -->
  <input type="text" name="fname" value="<?php echo esc_attr( $fname ); ?>">
  
  <!-- This is *not* correct: -->
  <input type=text name=fname value=<?php echo esc_attr( $fname ); ?>>
  

• 示例5

  注意，esc_attr将尝试避免双重编码。取此代码：

  echo esc_attr( 'A & B' );

  这将打印A & B而不是A & B。