PHP 使用 FILTER_SANITIZE_STRING（已弃用）会自动将单双引号转义为 '、" 等 HTML 实体，导致原始字符被破坏；解决方案是禁用引号编码或改用更安全、可控的替代方式。
php 使用 `filter_sanitize_string`（已弃用）会自动将单双引号转义为 `'`、`"` 等 html 实体，导致原始字符被破坏；解决方案是禁用引号编码或改用更安全、可控的替代方式。
问题根源在于 config.php 中对 $_POST 的全局过滤：
$_POST = filter_input_array(INPUT_POST, FILTER_SANITIZE_STRING);
该过滤器在 PHP 8.1 前默认启用 FILTER_FLAG_ENCODE_QUOTES（即强制 HTML 编码单双引号），因此用户输入的 Hello World' 会被转换为 Hello World' —— 这正是你在控制台（Line Z）看到的结果。
⚠️ 重要提示：FILTER_SANITIZE_STRING 自 PHP 8.1.0 起已被完全弃用，且其设计初衷是“清理 HTML 内容”，而非通用输入净化，不适用于表单文本字段的原始值保留场景。
✅ 推荐修复方案（任选其一）
方案 1：禁用引号编码（临时兼容旧版本）
// 替换 config.php 中原行：
// $_POST = filter_input_array(INPUT_POST, FILTER_SANITIZE_STRING);
// 改为：
$_POST = filter_input_array(INPUT_POST, [
'filter' => FILTER_SANITIZE_STRING,
'flags' => FILTER_FLAG_NO_ENCODE_QUOTES
]);此方式保留其他 HTML 标签剥离逻辑，但不再转义 ' 和 "，适用于需快速修复且暂无法升级 PHP 版本的项目。
立即学习“PHP免费学习笔记（深入）”；
方案 2（强烈推荐）：移除全局 FILTER_SANITIZE_STRING，改用按需处理
// config.php 中彻底删除以下三行：
// $_GET = filter_input_array(INPUT_GET, FILTER_SANITIZE_STRING);
// $_POST = filter_input_array(INPUT_POST, FILTER_SANITIZE_STRING);
// $_REQUEST = (array) $_POST + (array) $_GET + (array) $_REQUEST;
// 在业务逻辑中按需净化（例如仅在输出到 HTML 时转义）：
if (isset($_POST["response"])) {
$response = $_POST["response"]; // 原始值，无干扰
// ✅ 安全输出到 HTML 页面时才调用：
// echo htmlspecialchars($response, ENT_QUOTES, 'UTF-8');
// ✅ 存入数据库前使用 PDO 预处理或 mysqli_real_escape_string（非推荐，优先用预处理）
print_r($response); // 此处将正确输出 Hello World'
}方案 3：统一使用 htmlspecialchars() 控制输出（最佳实践）
永远不要在接收输入时“预编码”数据，而应在输出到 HTML 上下文时动态转义：
// form_validator.php 示例
if (isset($_POST["response"])) {
$rawResponse = $_POST["response"]; // 保持原始字符串
// 若需返回 JSON 给前端（如 AJAX 响应）：
header('Content-Type: application/json; charset=utf-8');
echo json_encode(['response' => $rawResponse], JSON_UNESCAPED_UNICODE);
}前端 JavaScript 可直接使用原始值，无需额外解码。
? 关键原则总结
- ❌ 不要对
$_POST/$_GET做全局 HTML 编码 —— 这混淆了“输入”与“输出”的安全边界； - ✅ 输入验证应聚焦于类型、长度、正则匹配等（如
FILTER_VALIDATE_EMAIL）； - ✅ 输出编码必须根据上下文选择：HTML →
htmlspecialchars()，JS →json_encode()，SQL → 参数化查询； - ✅ 所有用户输入在插入数据库前，必须使用 PDO 预处理语句或 MySQLi 参数化查询，杜绝 SQL 注入。
通过以上调整，console.log(data) 将如实打印 Hello World'，同时兼顾安全性与可维护性。
