A função addslashes() é usada para escapar barras invertidas, aspas simples, dentre outros caracteres. Não é o suficiente para escapar conteúdo HTML, CSS ou JavaScript.
Para escapar conteúdo HTML, use funções como strip_tags(), a qual remove tags ou, use htmlentities() caso queira exibir o conteúdo de código HTML como texto.
Exemplo prático sobre as 3 funções:
#addslashes()
addslashes()
$str = "Is your name O'Reilly?";
// Outputs: Is your name O\'Reilly?
echo addslashes($str);
A função adiciona o caracter de escape (barra invertida) para cada single quote (aspa simples) encontrada.
Note que no PHP existe a diretiva magic_quotes_gpc. Em versões inferiores ao PHP5.4, essa diretiva poderia estar ativada. Então é importante verificar se está ativada ou não nessas versões do PHP. Quando magic_quotes_gpc
está ativo, addslashes() é aplicado automaticamente nas variáveis globais $_GET
, $_POST
, $_COOKIES
.
#strip_tags()
strip_tags()
$text = '<p>Test paragraph.</p><!-- Comment --> <a href="#fragment">Other text</a>';
echo strip_tags($text);
A função remove tudo que é HTML, e tags JavaScript e CSS.
O segundo parâmetro da função serve para especificar exceções:
$text = 'foo<br>bar';
echo strip_tags($text, '<br>');
Nesse segundo exemplo, remove todas as tags HTML, exceto a tag <br>
Para prevenir-se de ataques de injeções SQL, prefira funções como mysqli_real_escape_string(). Para mais detalhes sobre o assunto consulte esse link: Usar o addslashes contra injeção de SQL é seguro?
#htmlentities
htmlentities
Converte caracteres especiais, ou seja, caracteres não alfa numéricos, em HTML entities.
Falando de forma mais simples, você já deve ter visto códigos desse tipo açã
no código HTML e na página do browser aparece como ação
. Isso são os HTML entities.
A principal utilidade é permitir visualizar códigos HTML sem que os mesmos sejam interpretados, ou seja, serão tratados como texto plano (plain/text).
Suponha que deseja exibir um código HTML <b>texto</b>
. Então poderá usar HTML entities:
echo htmlentities('<b>texto</b>');
Outro uso comum e não recomendo é para exibir caracteres de idiomas multibyte ou mesmo caracteres latinos com acentuação.
Nota: Não confunda HTML Entities com URL encoded (urlencode()). Pois ambos são codificações distintas.