PHP에서 일반적으로 사용되는 이스케이프 문자 함수

本文介绍下PHP中常用的字符转义函数、安全函数，用这些函数可以过滤大部份常见的攻击手段,如SQL注入等。

本节内容： php转义字符函数用法。

1. addslashes addslashes对SQL语句中的特殊字符进行转义操作，包括(‘), (“), (), (NUL)四个字符，此函数在DBMS没有自己的转义函数时候使用，但是如果DBMS有自己的转义函数，那么推荐使用原装函数，比如MySQL有mysql_real_escape_string函数用来转义SQL。 注意在PHP5.3之前，magic_quotes_gpc是默认开启的，其主要是在$GET, $POST, $COOKIE上执行addslashes操作，所以不需要在这些变量上重复调用addslashes，否则会double escaping的。不过magic_quotes_gpc在PHP5.3就已经被废弃，从PHP5.4开始就已经被移除了，如果使用PHP最新版本可以不用担心这个问题。stripslashes为addslashes的unescape函数。

2. htmlspecialchars htmlspecialchars把HTML中的几个特殊字符转义成HTML Entity(格式：&xxxx;)形式，包括(&),(‘),(“),()五个字符。 & (AND) => & ” (双引号) => " (当ENT_NOQUOTES没有设置的时候) ‘ (单引号) => ' (当ENT_QUOTES设置) (大于号) => > htmlspecialchars可以用来过滤$GET，$POST，$COOKIE数据，预防XSS。注意htmlspecialchars函数只是把认为有安全隐患的HTML字符进行转义，如果想要把HTML所有可以转义的字符都进行转义的话请使用htmlentities。htmlspecialchars_decode为htmlspecialchars的decode函数。

3. htmlentities htmlentities把HTML中可以转义的内容转义成HTML Entity。html_entity_decode为htmlentities的decode函数。

4. mysql_real_escape_string mysql_real_escape_string会调用MySQL的库函数mysql_real_escape_string，对(x00), (n), (r), (), (‘), (x1a)进行转义，即在前面添加反斜杠()，预防SQL注入。注意你不需要在读取数据库数据的时候调用stripslashes来进行unescape，因为这些反斜杠是在数据库执行SQL的时候添加的，当把数据写入到数据库的时候反斜杠会被移除，所以写入到数据库的内容就是原始数据，并不会在前面多了反斜杠。

5. strip_tags strip_tags会过滤掉NUL，HTML和PHP的标签。

6. 结语 PHP自带的安全函数并不能完全避免XSS，推荐使用HTML Purifier。

PHP 转义使用详解

php中数据的魔法引用函数 magic_quotes_gpc 或 magic_quotes_runtime 设置为on时，为我们引用的数据碰到 单引号' 和 双引号" 以及 反斜线 时自动加上反斜线，帮我们自动转译符号，确保数据操作的正确运行 两者的区别： magic_quotes_gpc 作用范围是：WEB客户服务端； 作用时间：请求开始是，例如当脚本运行时。 magic_quotes_runtime 作用范围：从文件中读取的数据或执行exec()的结果或是从SQL查询中得到的； 作用时间：每次当脚本访问运行状态中产生的数据。 可以看出 magic_quotes_gpc的设定值将会影响通过Get/Post/Cookies获得的数据 magic_quotes_runtime的设定值将会影响从文件中读取的数据或从数据库查询得到的数据 几个想关联的函数： set_magic_quotes_runtime(): 设置magic_quotes_runtime值. 0=关闭.1=打开.默认状态是关闭的.可以通过 echo phpinfo(); 查看magic_quotes_runtime get_magic_quotes_gpc(): 查看magic_quotes_gpc值.0=关闭.1=打开 get_magic_quotes_runtime(): 查看magic_quotes_runtime值。0=关闭.1=打开. 注意的是没有 set_magic_quotes_gpc()这个函数,就是不能在程序里面设置magic_quotes_gpc的值。 由于两个值的设置问题，会给编程时造成部分混淆或者会多加一次转义，针对这种情况，需要在程序开始的时候进行设置和判断，或者默认配置 这两个值都关闭。转义部分通过程序来执行。 保证数据插入数据时正常 通常会使用 addslashes 这个来处理， 数据读出时多用 stripslashes 来去掉加的反斜杠 php中类似的字符转换的函数

addslashes 指定的预定义字符前添加反斜杠 stripslashes 删除由 addslashes() 函数添加的反斜杠 htmlspecialchars 把一些预定义的字符转换为 HTML 实体 htmlspecialchars_decode 把一些预定义的 HTML 实体转换为字符 html_entity_decode() 把 HTML 实体转换为字符 htmlentities() 把字符转换为 HTML 实体