有关PHP、HTML单引号、双引号转义以及转成HTML实体的那些事

一、单引号和双引号转义在PHP的数据存储过程中用得比较多&＃xff0c;即往数据库里面存储数据时候需要注意转义单、双引号&＃xff1b;

先说几个PHP函数&＃xff1a;

1、addslashes ― 使用反斜线引用&＃xff08;转义&＃xff09;字符串&＃xff1b;

　　返回字符串&＃xff0c;该字符串为了数据库查询语句等的需要在某些字符前加上了反斜线。这些字符是单引号&＃xff08;&＃39;&＃xff09;、双引号&＃xff08;"&＃xff09;、反斜线&＃xff08;\&＃xff09;与 NUL&＃xff08;NULL 字符&＃xff09;。

一个使用 addslashes() 的例子是当你要往数据库中输入数据时。例如&＃xff0c;将名字 O&＃39;reilly 插入到数据库中&＃xff0c;这就需要对其进行转义。大多数据库使用 \ 作为转义符&＃xff1a;O\&＃39;reilly。这样可以将数据放入数据库中&＃xff0c;而不会插入额外的 \。当 PHP 指令 magic_quotes_sybase 被设置成 on 时&＃xff0c;意味着插入 &＃39; 时将使用 &＃39; 进行转义。默认情况下&＃xff0c;PHP 指令 magic_quotes_gpc 为 on&＃xff0c;它主要是对所有的 GET、POST 和 COOKIE 数据自动运行 addslashes()。不要对已经被 magic_quotes_gpc 转义过的字符串使用 addslashes()&＃xff0c;因为这样会导致双层转义。遇到这种情况时可以使用函数 get_magic_quotes_gpc() 进行检测。

2、stripslashes ― 去掉字符串的反斜杠引用&＃xff08;转义&＃xff09;

　　即同addslashes()做相反的工作&＃xff1b;

3、get_magic_quotes_gpc --- 检测魔术引用变量是否开启&＃xff0c;倘若开启返回1&＃xff0c;为开启则返回0&＃xff1b;

if (!get_magic_quotes_gpc()) {
$lastname&＃61;addslashes($_POST[&＃39;lastname&＃39;]);
} else {
$lastname&＃61;$_POST[&＃39;lastname&＃39; ];
}
echo$lastname;  
$sql&＃61;"INSERT INTO lastnames (lastname) VALUES (&＃39;{$lastname}&＃39;)";

二、谈转义实体问题&＃xff1a;

我们经常会遇到关于留言板之类的可以让用户输入信息的地方&＃xff0c;这些地方都是需要注意的&＃xff0c;因为不做转实体之类的话&＃xff0c;html代码、script脚本可以轻易的被输入保存&＃xff0c;并被其他用户执行&＃xff1b;

所以类似用户在输入文本内输入hello之类的&＃xff0c;我们尽量要屏蔽掉&＃xff0c;否则用户会乱搞&＃xff0c;比如调CSS样式等&＃xff0c;那样&＃xff0c;我们页面将一塌糊涂。废话不多说&＃xff0c;这里有几个关于PHP转实体的函数需要详细了解&＃xff1a;

1、htmlspecialchars&＃xff08;&＃xff09; 转义特别的字符为HTML实体&＃xff1b;

&＃39;&&＃39; (ampersand) becomes &＃39;&&＃39; &＃39;"&＃39; (double quote) becomes &＃39;"&＃39; when ENT_NOQUOTES is not set. &＃39;&＃39;&＃39; (single quote) becomes &＃39;&＃039;&＃39; only when ENT_QUOTES is set. &＃39;<&＃39; (less than) becomes &＃39;<&＃39; &＃39;>&＃39; (greater than) becomes &＃39;>&＃39;

2、htmlspecialchars_decode&＃xff08;&＃xff09;将实体转成HTML代码,函数1的反函数

3、 htmlentities()这个是全部转换html实体&＃xff0c;和htmlspecialchars()区别在于&＃xff0c;这个函数是转义全部的字符&＃xff0c;而htmlspecialchars()仅仅转义上面限定的5个特殊字符&＃xff01;