如果存储到数据库你应该使用sanitze函数.如果你输出到浏览器你应该使用escape函数.

<img src=<?php echo esc_url('x'); ?> onerror=<?php echo esc_attr('console.log(hey)'); ?><img src="<?php echo esc_url('x'); ?>" />

使用wp_kses

$string = '<img src=x onerror=console.log(hey)<img src="x" />';

<?php echo wp_kses( $string, array( 'img' => array('src' => array() ), 'p' => array() ) ); ?>

或

<?php echo wp_kses( $string, 'data' ); ?>