質問: 【関数のマニュアル】 https://secure.php.net/manual/ja/function.htmlspecialchars.php この関数の第二引数にはフラグ定数を設定することができますが、 ENT_QUOTESをしているソースコードをよく見かけます。 シングルクォートを**エスケープするメリット**や**エスケープしない事での脆弱性**がありましたらご教示ください。
回答: 例えばinputタグのvalue値にphpで生成した値を出力する場合、value属性がシングルクォートでくくられていると期待通りの出力がされなくなったりします。 以下の例では上段のinputタグには「xxx」、下段のinpuタグには「xxx'xxx」が出力されます。 ``` ```