suit: Hacken verhindern (erschweren)

Beitrag lesen

Anführungszeichen müssen lediglich als Inhalt eines Attributs Berücksichtigung finden, und da braucht es ENT_QUOTES nur, wenn man einfache Anführungszeichen als Attributbegrenzer nimmt.

Und auch hier gilt, dass man nur "die anderen" escapen muss - was du ja implizit mit dem 2. Teil meinst.

attribut="foo'bar" oder attribut='foo"bar' ist völlig ok - wenn man den Attributbegrenzer aber nicht selbst wählen kann, empfiehlt sich einfach immer alles zu escapen, das tut nicht weh und man ist auf der sicheren Seite.