php特殊字符转义详解

$html = array( );
$html['username'] = htmlentities($clean['username'], ent_quotes, 'utf-8');
echo "welcome back, {$html['username']}.";
?>

小提示 htmlspecialchars( )函数与htmlentities( )函数基本相同，它们的参数定义完全相同，只不过是htmlentities( )的转义更为彻底。通过$html['username']把username 输出到客户端，你就可以确保其中的特殊字符不会被浏览器所错误解释。如果username 只包含字母和数字的话，实际上转义是没有必要的，但是这体现了深度防范的原则。转义任何的输出是一个非常好的习惯，它可以戏剧性地提高你的软件的安全性。

另外一个常见的输出目标是数据库。如果可能的话，需要对sql 语句中的数据使用php内建函数进行转义。

对于mysql数据库用户，最好的转义函数是mysql_real_escape_string( )。 如果使用的数据库没有php 内建转义函数可用的话，addslashes( )是最后的选择。

例子，对于mysql 数据库的正确的转义技巧：

$mysql = array( );
$mysql['username'] = mysql_real_escape_string($clean['username']);
$sql = "select *
from profile
where username = '{$mysql['username']}'";
$result = mysql_query($sql);
?>

php过滤参数特殊字符防注入 php 过滤非法与特殊字符串的方法 php实例：特殊字符处理函数的例子 替换超长文本中的特殊字符的php代码