PHP 8.1 版本没有全局配置项能自动对所有输出开启 htmlspecialchars 实体编码，安全做法是在代码中显式调用该函数。开发者应配置 php.ini 中的 default_charset 为 UTF-8，并在调用 htmlspecialchars() 时显式指定 ENT_QUOTES 标志位，避免依赖隐式默认值。
先说结论：PHP 8.1 不支持全局自动开启 htmlspecialchars，需代码层手动实现并配置默认字符集。
- 适合：所有需要输出用户数据到 HTML 页面的 PHP 8.1+ 项目
- 先准备：确认 php.ini 中 default_charset 设置为 UTF-8
- 再验证：使用 phpinfo() 检查配置并测试特殊字符输出
快速处理思路
由于不存在全局开关，建议封装统一输出函数或在使用 echo 前强制调用转义函数。以下代码示例展示了安全调用的标准写法，显式指定了标志位和编码。
<?php
$str = '<script>alert("XSS")</script>';
// 安全写法：显式指定 ENT_QUOTES 和 UTF-8
echo htmlspecialchars($str, ENT_QUOTES, 'UTF-8');
?>为什么会这样
htmlspecialchars 是函数级操作而非引擎级开关，PHP 8.1 反而弃用了旧的全局过滤配置。PHP 8.1.0 起弃用了 filter.default 配置项，该配置项曾允许对所有输入变量应用默认过滤器，但因其安全性问题已被移除。函数本身的默认参数在 PHP 8.1+ 中包含了 ENT_SUBSTITUTE，但仍需手动调用函数才能生效。
分步处理
第一步检查 php.ini 配置，确保 default_charset 未设置为空或旧编码。搜索配置文件中的 default_charset 项，将其值设为 UTF-8，这会影响 htmlspecialchars 在未指定编码参数时的行为。第二步在代码中统一调用逻辑，不要依赖默认参数，显式传递 ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401 作为 flags 参数。第三步避免使用已弃用的 filter.default，检查代码中是否依赖该配置进行输入过滤，如有则改为手动调用过滤函数。
怎么验证是否生效
创建 phpinfo.php 文件并访问，搜索 default_charset 确认值为 UTF-8。编写测试脚本输出包含<、>、"、'的字符串，查看页面源码确认字符已转换为<、>、"、'实体。若页面源码中仍显示原始符号，说明转义未生效，需检查代码中是否漏传参数或编码不匹配。
常见坑
不要依赖 filter.default 进行安全过滤，该配置在 PHP 8.1 已弃用且不再维护。注意 double_encode 参数默认值为 true，若输入字符串已包含实体，可能会造成双重编码导致显示异常。富文本场景不应使用 htmlspecialchars，否则会导致 HTML 标签被转义无法渲染，应使用白名单过滤方案。
常见问题
PHP 8.1 有开关能自动转义所有输出吗
没有，PHP 没有任何版本提供全局自动转义输出的配置开关，必须在代码中手动调用 htmlspecialchars。
filter.default 弃用后怎么过滤输入
弃用后需在代码中使用 filter_input() 或手动调用 htmlspecialchars 处理具体变量，不再支持 ini 配置全局过滤。
htmlspecialchars 默认编码是多少
PHP 5.4.0 起默认字符编码调整为 UTF-8，但建议显式传递'UTF-8'参数以确保兼容性。
参考来源
- PHP Manual - 运行时配置：过滤器配置项（filter.default 弃用说明）
- PHP Manual - htmlspecialchars 函数参数与默认值说明
- CSDN 博客 - PHP 的 htmlspecialchars() 和 htmlspecialchars_decode 方法详解