1º Não inventa.
2º Não é uma questão de qual é melhor, deves saber o que faz cada um.
htmlentities
codifica qualquer caractere especial, de modo que não seja possível injectar tags ou algum js.
Deixar o atributo action
vazio, faz com que essa página referencie a si mesma. Por isso não desperdices funções usando-as onde não são necessárias, porque o que o PHP_SELF
faz, é retornar o nome do ficheiro que está a executar o script, por isso, se não há QUERY_STRING
porquê devo eu utilizar o htmlentities
ou urlencode
? Simplesmente não deves, porque a principal razão para usa-las, é retornar estes valores no formato certo, para que possam ser usadas sem problemas, isso caso existirem.
Um exemplo disto é:
<?php
echo '<a href="' . htmlspecialchars("/nextpage.php?stage=23&data=" .
urlencode($data)) . '">'."\n";
?>
A url
contém parâmetros, logo possui caracteres especiais que precisam de ser escapados, mas o que faz o urlencode
aí ? Simplesmente faz o que faz, quando ser quer passar o valor de uma variável como parte de uma url
, é aí que se torna útil.
Eu diria o que muita gente diz normalmente em situações como esta, usa uma biblioteca js qualquer, ou usa simplesmente o js, e o teu problema desaparece.
Seria fácil pensar assim, devido ao avanço tecnológico até os sites mais simples utilizam javascript, sendo que grande parte dos dispositivos atualmente usados para acessar estes sites possuem também suporte ao javascript. Mas é o que é, javascript pode falhar, uma ou outra vez, e há vezes em que simplesmente alguns preferem não usar, mas isso já é outra perspectiva.
Analisa melhor as tuas prioridades, e procure uma solução que se adeque a ti.
Se quiseres ler mais sobre sobre alguns destes processos, eis algumas páginas que recomendo:
htmlspecialchars()
ou porque pensar que ele não é seguro.