htmlspecialcharsとFILTER_SANITIZE_SPECIAL_CHARS

経緯

ぼく「POSTされた値を受け取るときのフィルタってなにがええんやろな～」
ぼく「お、FILTER_SANITIZE_SPECIAL_CHARS安全そうでええやん！」
～数日後～
ぼく「POSTで来た値をHTMLに出力するときにはhtmlspecialchars！常識だよね！」
～半年後～
お客様「'って入力したら'に文字化けするんだけど！！」
ぼく「ふええええ」

原因

• 除去フィルタ - PHPマニュアル

FILTER_SANITIZE_SPECIAL_CHARS
'"<>& および ASCII 値が 32 未満の文字を HTML エスケープします。オプションで、 特殊文字を取り除いたりエンコードしたりします。

• htmlspecialchars - PHPマニュアル

ENT_QUOTES
シングルクオートとダブルクオートを共に変換します。

つまり、

$input = filter_input(INPUT_POST,"hoge",FILTER_SANITIZE_SPECIAL_CHARS);
echo htmlspecialchars($input,ENT_QUOTES,'UTF-8');

とすると、
'"<>&が多重エスケープされてしまいます。

本来なら、入力の受け取り時はバリデーションのみ、出力時にエスケープとするのが妥当(らしい)なのですが、
PHPの除去フィルタのうちの一部が除去するだけでなくエスケープまで行っているので、こうなってしまいました。

おまけ

ヌル文字とかを弾きたかったら、FILTER_SANITIZE_STRINGとFILTER_FLAG_STRIP_LOWを使って以下のようにするのをおススメします。（フィルタ名にはサニタイズが入っているが、エンコードじゃなくて除去をしてくれる。）

$input = filter_input(INPUT_POST,"hoge",FILTER_SANITIZE_STRING,FILTER_FLAG_STRIP_LOW);

注意点としては、\nなどの制御文字も弾かれてしまいます。(ASCIIで32未満なので。)
ちなみにFILTER_FLAG_STRIP_HIGHを使うとマルチバイト文字が弾かれてしまいます。英数字のみ入力のときに使えます。

どうしてもサニタイズしてほしくない人は、FILTER_UNSAFE_RAWと各種フラグを使えば良さそうです。

PHPマニュアルをよく読んで、自分に合った君だけの除去フィルタを手に入れよう！