Если вам небезразлично XSS , тогда вам следует использовать <?= htmlspecialchars(…) ?>
большую часть времени, поэтому короткий тег не имеет большого значения.
Даже если вы укоротите echo htmlspecialchars()
до h()
, это все еще проблема, которую вы должны помнить, чтобы добавлять ее почти каждый раз (и пытаться отследить, какие данные предварительно экранированы, которые не экранированы, но безвредны только делает ошибки более вероятными).
Я использую шаблонизатор , который по умолчанию защищен и пишет для меня теги <?php
.