PHP addslashes()函数讲解

当我们从用户输入的数据插入到数据库时，为了防止SQL注入攻击，需要对输入的数据进行转义处理。PHP的addslashes()函数就是用来实现这一功能的。

函数定义

addslashes()函数是一个预定义的PHP函数，用于对字符串中的特殊字符进行转义处理。它的语法如下：

addslashes ( string $str ) : string

参数$str是要进行转义处理的字符串，函数返回值为转义后的字符串。

转义规则

addslashes()函数会将以下字符前添加反斜线\：

• 单引号 (')
• 双引号 (")
• 反斜线 (\)
• NULL字符 (\0)

示例说明

以下是两个示例说明，展示了使用addslashes()函数进行转义处理的过程。

示例1：对字符串的特殊字符进行转义

$str = "It's a string with 'special' characters.";
$str_escaped = addslashes($str);
echo $str_escaped;

输出结果为：

It\'s a string with \'special\' characters.

可以看到，单引号和双引号之前都添加了反斜线\，字符串中的特殊字符得到了转义处理。

示例2：防止SQL注入攻击

$username = "user";
$password = "password' or '1'='1";
$sql = "SELECT * FROM users WHERE username='" . addslashes($username) . "' AND password='" . addslashes($password) . "'";

在这个示例中，我们使用addslashes()函数对用户名和密码进行转义处理，以防止攻击者在密码中注入SQL语句。最后拼接成的SQL查询语句就是安全的，可以避免SQL注入攻击。

总之，在使用用户输入的字符串插入数据库或者拼接成SQL语句之前，一定要先使用addslashes()函数进行转义处理，以提高程序的安全性。