A função [addslashes()][1] é usada para escapar barras invertidas, aspas simples, dentre outros caracteres. Não é o suficiente para escapar conteúdo HTML, CSS ou JavaScript. Para escapar conteúdo HTML, use funções como [strip_tags()][2], a qual remove tags ou, use [htmlentities()][3] caso queira exibir o conteúdo de código HTML como texto. Exemplo prático sobre as 3 funções: # addslashes() $str = "Is your name O'Reilly?"; // Outputs: Is your name O\'Reilly? echo addslashes($str); A função adiciona o caracter de escape <sup>(barra invertida)</sup> para cada single quote <sup>(aspa simples)</sup> encontrada. Note que no PHP existe a diretiva [magic_quotes_gpc][4]. Em versões inferiores ao PHP5.4, essa diretiva poderia estar ativada. Então é importante verificar se está ativada ou não nessas versões do PHP. Quando `magic_quotes_gpc` está ativo, addslashes() é aplicado automaticamente nas variáveis globais `$_GET`, `$_POST`, `$_COOKIES`. # strip_tags() $text = '<p>Test paragraph.</p><!-- Comment --> <a href="#fragment">Other text</a>'; echo strip_tags($text); A função remove tudo que é HTML, e tags JavaScript e CSS. O segundo parâmetro da função serve para especificar exceções: $text = 'foo<br>bar'; echo strip_tags($text, '<br>'); Nesse segundo exemplo, remove todas as tags HTML, exceto a tag `<br>` Para prevenir-se de ataques de injeções SQL, prefira funções como [mysqli_real_escape_string()][5]. Para mais detalhes sobre o assunto consulte esse link: https://pt.stackoverflow.com/questions/50839/usar-o-addslashes-contra-inje%C3%A7%C3%A3o-de-sql-%C3%A9-seguro # htmlentities Converte caracteres especiais, ou seja, caracteres não alfa numéricos, em HTML entities. Falando de forma mais simples, você já deve ter visto códigos desse tipo `açã` no código HTML e na página do browser aparece como `ação`. Isso são os HTML entities. A principal utilidade é permitir visualizar códigos HTML sem que os mesmos sejam interpretados, ou seja, serão tratados como texto plano (plain/text). Suponha que deseja exibir um código HTML `<b>texto</b>`. Então poderá usar HTML entities: echo htmlentities('<b>texto</b>'); Outro uso comum e não recomendo é para exibir caracteres de idiomas multibyte ou mesmo caracteres latinos com acentuação. Nota: Não confunda **HTML Entities** com **URL encoded** ([urlencode()][6]). Pois ambos são codificações distintas. [1]: http://php.net/addslashes [2]: http://php.net/strip_tags [3]: http://php.net/htmlentities [4]: http://php.net/manual/en/info.configuration.php#ini.magic-quotes-gpc [5]: http://php;net/mysqli_real_escape_string [6]: http://php.net/urlencode