最近版本的 php 中的 htmlspecialchars() 更安全了吗？

友小友

我在一本书中看到这个函数的第二参数的默认值是 ENT_COMPAT，但是 php 官网上第二个参数的默认值是 ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401。网上也有不少说默认参数的 htmlspecialchars() 会被 XSS 攻击，好像是因为默认值是 ENT_COMPAT。

万子

……