PHP html_entity_decode() 完整指南：HTML 實體反轉字符、編碼處理、配套函數對比

實戰代碼示例

<?php
// 原始字符串
$original = '--> "E.V-Get.com" <--';

// 1. htmlentities() 編碼 (實體化)
$encoded = htmlentities($original, ENT_QUOTES, 'UTF-8');
// $encoded = '--> "E.V-Get.com" <--'

// 2. html_entity_decode() 解碼 (還原)
// 完整還原
$decoded = html_entity_decode($encoded, ENT_QUOTES, 'UTF-8');
// $decoded = '--> "E.V-Get.com" <--'

// 僅解碼雙引號 (默認 ENT_COMPAT)
$decodedNoQuotes = html_entity_decode($encoded, ENT_NOQUOTES, 'UTF-8');
// $decodedNoQuotes = '--> "E.V-Get.com" <--' (單引號實體保留)

// 數字實體解碼 (十進制/十六進制)
$numeric = 'A B'; // A B
echo html_entity_decode($numeric, ENT_QUOTES, 'UTF-8'); // "A B"
?>

配套函數對比表

常見陷阱與避坑

安全應用：防 XSS 輸出流程

<?php
// 1. 存儲前：不處理，存原始用戶輸入 (或標準化編碼)
// 2. 輸出到 HTML 內容區：
echo htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8');

// 3. 輸出到 HTML 屬性值：
echo '';

// 4. 輸出到 JavaScript 變量：
echo '';

// 5. 輸出到 URL 參數：
echo '搜索';

// 6. 若數據庫存的是已實體化字符串 (歷史數據)，輸出前解碼再編碼：
$safe = htmlspecialchars(html_entity_decode($storedHtml, ENT_QUOTES, 'UTF-8'), ENT_QUOTES, 'UTF-8');

總結

html_entity_decode() 是「實體 → 字符」的標準解碼器，**關鍵在於顯式指定 `ENT_QUOTES | ENT_HTML5` 和 `'UTF-8'`**。配套 htmlspecialchars() (編碼) 形成「存原始、輸出編碼」的防 XSS 最佳實踐。避免雙重編碼、編碼不匹配、命名實體不支持等常見坑。