$_GETで受け取った値に対して、htmlspecialchars()した時の謎なふるまいについて。

質問

//(環境）PHP5、SQLite3、Firefox

<?php

echo $_GET["page"];　　//（１）何も出力されない。

$_GET["page"] = htmlspecialchars(sqlite_escape_string($_GET["page"]));

echo $_GET["page"];　　//（２）<br>と出力されてしまった。

?>

上記スクリプト index.php に対し、

ブラウザURL記入欄にて、

http：//example.com/index.php?page=<br>

と、ゲットで値「<br>」を与えたURLを打ち込んだところ、
上記ソースのコメントに書いたような出力結果となりました。

私の予想では、
（１）では、<br> を、
（２）では、&lt;br&gt; を、

それぞれ出力するものと思っていましたが、結果は全く違いました。
これはなぜなのでしょう？

さらに、
上記において、

$_GET["page"] = htmlspecialchars($_GET["page"]);

としても、結果は同じでした。
------------------------------
また、

$_GET["page"] = htmlspecialchars(sqlite_escape_string($_GET["page"]));

の場合に、

ゲットで渡す値を「<br>」から「<'br'>」へ変えてみると、

（１）では、<'br'>を、
（２）では、<''br''>を、

それぞれ出力しました。
------------------------------

どなたか、分かりましたら教えて下さい。
よろしくお願い致します。

回答No.1

php504 · ベストアンサー

ブラウザの画面ではなくソースを表示して確認されましたか

お礼

簡潔明瞭な回答をありがとうございます。

まず、回答を見て、「ん？」と一瞬思いましたが、
すぐに自分の愚かさに気付きました。（はずかしっ）

（１）で、<br>が出力されていれば、
当然、ブラウザ上では表示されませんよね・・・。

次に、（２）については、
<br>と出力されているからこそ、
ブラウザ上では、<br>と表示されるわけですよね・・・。

至極当然のことを、さも難問であるかのように質問していた数分前の自分が恥ずかしい。
穴が有ったら、入りたいです。

echo(出力）されたものは、
「見てくれ」はどうであれ、必ずブラウザに表示されるものと思っていたのですが、これが大きな間違いでした。

出力されたものが、
ソースでは表示されるが、ブラウザには表示されない
という場合があることを、改めて理解しました。
分かっていたつもりでしたが、思わぬ墓穴を掘りました。

ちょうど、穴があったら入りたいと思っていたところなので、
今は、この掘った墓穴が、気になってしかたありません。

では、どうもありがとうございました。