A função addslashes() é usada para escapar barras invertidas, aspas simples, dentre outros caracteres. Não é o suficiente para escapar conteúdo HTML, CSS ou JavaScript.
Para escapar conteúdo HTML, use funções como strip_tags(), a qual remove tags ou, use htmlentities() caso queira exibir o conteúdo de código HTML como texto.
Exemplo prático sobre as 3 funções:
#addslashes()
$str = "Is your name O'Reilly?";
// Outputs: Is your name O\'Reilly?
echo addslashes($str);
A função adiciona o caracter de escape (barra invertida) para cada single quote (aspa simples) encontrada.
Note que no PHP existe a diretiva magic_quotes_gpc. Em versões inferiores ao PHP5.4, essa diretiva poderia estar ativada. Então é importante verificar se está ativada ou não nessas versões do PHP. Quando magic_quotes_gpc
está ativo, addslashes() é aplicado automaticamente nas variáveis globais $_GET
, $_POST
, $_COOKIES
.
#strip_tags()
$text = '<p>Test paragraph.</p><!-- Comment --> <a href="#fragment">Other text</a>';
echo strip_tags($text);
A função remove tudo que é HTML, e tags JavaScript e CSS.
O segundo parâmetro da função serve para especificar exceções:
$text = 'foo<br>bar';
echo strip_tags($text, '<br>');
Nesse segundo exemplo, remove todas as tags HTML, exceto a tag <br>
Para prevenir-se de ataques de injeções SQL, prefira funções como mysqli_real_escape_string(). Para mais detalhes sobre o assunto consulte esse link: Usar o addslashes contra injeção de SQL é seguro?
#htmlentities
Converte caracteres especiais, ou seja, caracteres não alfa numéricos, em HTML entities.
Falando de forma mais simples, você já deve ter visto códigos desse tipo açã
no código HTML e na página do browser aparece como ação
. Isso são os HTML entities.
A principal utilidade é permitir visualizar códigos HTML sem que os mesmos sejam interpretados, ou seja, serão tratados como texto plano (plain/text).
Suponha que deseja exibir um código HTML <b>texto</b>
. Então poderá usar HTML entities:
echo htmlentities('<b>texto</b>');
Outro uso comum e não recomendo é para exibir caracteres de idiomas multibyte ou mesmo caracteres latinos com acentuação.
Aqui mesmo no site do StackOverflow português usa-se entities para poder exibir caracteres especiais Stack Overflow em Português
. Isso se deve ao fato de que o site não utiliza um conjunto de caracteres adequado como UTF8.
Nota: Não confunda HTML Entities com URL encoded (urlencode()). Pois ambos são codificações distintas.