何时使用哪种字符串转义方法？

Question

好了,还有所有这些不同的字符串转义功能,例如htmlentities(),mysql_real_escape_string(),addslashes()

但是我应该在什么情况下使用哪个？
资源和意见请:)

Answer 1

• addslashes()/ stripslashes()又回到了一个名为'Magic Quotes'的不太好的想法,后来被弃用了.它会自动转义特殊字符,然后您可以使用addslashes()和stripslashes()来添加或删除它们.其中一个问题是你从来没有确定数据当前是否有斜杠,因此你最终将非转义数据放入SQL,或者在你的网页上有额外的斜杠.
• htmlentities()经常用于在页面上显示HTML.如果您尝试写入<b>Something</b>HTML页面,您将看到Something(即原始文本以粗体显示) - 您将看不到它周围的粗体标签.使用htmlentities('<b>Something</b>')将代码转换为<b> Something <b>,以便在浏览器中看到三角括号.
• mysql_real_escape_string()对于防御MySQL注入攻击非常有用 - 它可以逃避字符串中的不安全字符.它并没有逃脱其他数据类型什么,所以那些需要分开处理.它也不编码%和_,它们在某些查询中用作通配符.

综上所述:

• 如果您要编码以写入HTML页面,请使用htmlentities()
• 如果要编写字符串以写入数据库,请使用mymysql_real_escape_string()
• 永远不要使用addslashes()