JuniorТеорияЧасто

Что выведет программа?

PHP

<?php

$name = '<b>Ann</b> & "co"';
echo htmlspecialchars($name), "\n";

Ann & "co"

Ждать, что без флагов кавычки останутся как есть: флаги по умолчанию кодируют " в ", а с PHP 8.1 включают ENT_QUOTES, и ' тоже становится '.
Ждать, что htmlspecialchars вырежет теги: функция ничего не удаляет, а превращает < и > в < и >, и браузер показывает тег как текст.

JuniorТеорияЧасто

PHP

<?php

$name = '<b>Ann</b> & "co"';
echo htmlspecialchars($name), "\n";

Ann & "co"

Ждать, что без флагов кавычки останутся как есть: флаги по умолчанию кодируют " в ", а с PHP 8.1 включают ENT_QUOTES, и ' тоже становится '.
Ждать, что htmlspecialchars вырежет теги: функция ничего не удаляет, а превращает < и > в < и >, и браузер показывает тег как текст.