PHPのhtmlspecialcharsにはENT_QUOTESを付けよう

htmlspecialchars でXSS対策ができるが

このまま使ってもシングルクオートはエスケープしてくれないそうです。

ついさっき知りました

気づかなかった

ってことで今後は

ENT_QUOTESを引数に追加しましょう。

htmlspecialchars($str, ENT_QUOTES);