Twig中escape('html')和escape('html_attr')的区别

Question

自版本1.9.0以来，Twig为escape过滤器提供了html_attr策略（请参见文档）。 html策略使用htmlspecialchars PHP函数（通过快速查看源代码可以确认）。html_attr策略使用一系列自定义的替换，最终似乎具有相同的效果。

这两种策略之间有什么区别吗？

- Laurent Pireyn

---

我认为html_attr适用于未引用的属性，而html适用于正文和在引用属性中。我还没有找到明确的引用证明这一点，但我很想看到一个。 - Rich

Answer 1

这段源码的说明:

/*
 * While HTML supports far more named entities, the lowest common denominator
 * has become HTML5's XML Serialisation which is restricted to the those named
 * entities that XML supports. Using HTML entities would result in this error:
 *     XML Parsing Error: undefined entity
 */

实际上，html策略只会改变在HTML中具有特殊含义的字符，而html_attr策略则替换了几乎所有非字母数字字符，包括空格。请看下面的例子：

看一下这个文本，好吗？

raw:       See this <b>text</b>, OK?

html:      See this <b>text</b>, OK?
html_attr: See this <b>text</b>, OK?

在我看来，对于HTML，您可以使用html策略，对于XML文档，最好使用html_attr策略，但我尚未在实践中尝试过。

- Harry Oosterveen