在编写 PHP 程序时，我们通常有多种方式来生成 HTML 输出。PHP 中经常使用 echo 和 print 函数输出 HTML 标记，但是，我们需要小心处理 HTML 和 PHP 代码中的转义字符，以避免 XSS 攻击和其他安全问题。

一些常见的转义字符包括 < (小于号), > (大于号), " (双引号), ' (单引号), & (和号) 等。这些字符在 HTML 中都有各自的含义，可以影响 HTML 的结构和样式。例如，在 <p> 标记中插入字符串 "Hello World!" 时，字符串中的双引号可能会突破 "p" 标记的开启，导致出现不安全的 HTML 片段。

<p>Hello "World!"</p>
Hello "World!"

为了避免这种情况的发生，我们需要使用 PHP 函数来转义这些字符，以确保它们在 HTML 输出中的正确性。这些函数包括 htmlspecialchars() 函数和 htmlentities() 函数。

htmlspecialchars() 函数可以将 HTML 的特殊字符转换为安全的实体字符，并防止 XSS 攻击。

// 将实体字符插入到 HTML 输出中
$str = "John & Jane";
echo htmlspecialchars($str);

结果：

John & Jane

htmlentities() 函数和 htmlspecialchars() 函数类似，但它们可以将所有字符都转换为实体，而不仅仅是 HTML 的特殊字符。这意味着，您可以在 HTML 输出中对所有字符进行转义，以确保安全性。

// 将所有字符转换为实体
$str = "John & Jane";
echo htmlentities($str);

结果：

John & Jane <script>alert('Hello World!')</script>

在编写 PHP 和 HTML 代码时，我们必须时刻谨记在输入和输出值时要进行正确的转义处理。如果我们忽略这个问题，可能会导致安全漏洞和 XSS 攻击。