What are the commonly used quote escape functions in PHP?

php常用的引号转义函数有：1、addslashes，对SQL语句中的特殊字符进行转义操作；2、htmlspecialchars，把HTML中的几个特殊字符转义成HTML Entity；3、【strip_tags】，过滤掉NULL等标签。

 php常用的引号转义函数有

1. addslashes

addslashes对SQL语句中的特殊字符进行转义操作，包括(‘), (“), (), (NULL)四个字符，此函数在DBMS没有自己的转义函数时候使用，但是如果DBMS有自己的转义函数，那么推荐使用原装函数，比如MySQL有mysql_real_escape_string函数用来转义SQL。

 注意在PHP5.3之前，magic_quotes_gpc是默认开启的，其主要是在$GET, $POST, $COOKIE上执行addslashes操作，所以不需要在这些变量上重复调用addslashes，否则会double escaping的。不过magic_quotes_gpc在PHP5.3就已经被废弃，从PHP5.4开始就已经被移除了，如果使用PHP最新版本可以不用担心这个问题。stripslashes为addslashes的unescape函数。

2. htmlspecialchars

htmlspecialchars把HTML中的几个特殊字符转义成HTML Entity(格式：&xxxx;)形式，包括(&),(‘),(“),()五个字符。

& (AND) => &

” (双引号) => " (当ENT_NOQUOTES没有设置的时候)

‘ (单引号) => ' (当ENT_QUOTES设置)

<

> (大于号) => >  

htmlspecialchars可以用来过滤$GET，$POST，$COOKIE数据，预防XSS。

注意htmlspecialchars函数只是把认为有安全隐患的HTML字符进行转义，如果想要把HTML所有可以转义的字符都进行转义的话请使用htmlentities。htmlspecialchars_decode为htmlspecialchars的decode函数。

3. htmlentities

htmlentities把HTML中可以转义的内容转义成HTML Entity。html_entity_decode为htmlentities的decode函数。

4. mysql_real_escape_string

mysql_real_escape_string会调用MySQL的库函数mysql_real_escape_string，对(\x00), (\n), (\r), (), (‘), (\x1a)进行转义，即在前面添加反斜杠()，预防SQL注入。

注意你不需要在读取数据库数据的时候调用stripslashes来进行unescape，因为这些反斜杠是在数据库执行SQL的时候添加的，当把数据写入到数据库的时候反斜杠会被移除，所以写入到数据库的内容就是原始数据，并不会在前面多了反斜杠。

5. strip_tags

strip_tags会过滤掉NULL，HTML和PHP的标签。

相关学习推荐：PHP编程从入门到精通

The above is the detailed content of What are the commonly used quote escape functions in PHP?. For more information, please follow other related articles on the PHP Chinese website!