绕不过。
所谓绕过就是挑程序员忘记正确转码的地方下手。
注意并非htmlspecialchars就万事大吉,不同的地方需要不同的转码。所以所谓绕过htmlspecialchars也可能指那个漏洞点用htmlspecialchars转码压根不正确。详见: