用htmlspecialchars过滤，防止xss