A função [addslashes()][1] é usada para escapar barras invertidas, aspas simples, dentre outros caracteres. Não é o suficiente para escapar conteúdo HTML, CSS ou JavaScript.


Para escapar conteúdo HTML, use funções como [strip_tags()][2], a qual remove tags ou, use [htmlentities()][3] caso queira exibir o conteúdo de código HTML como texto.

Exemplo prático sobre as 3 funções:

#addslashes()

    $str = "Is your name O'Reilly?";
    
    // Outputs: Is your name O\'Reilly?
    echo addslashes($str);

A função adiciona o caracter de escape <sup>(barra invertida)</sup> para cada single quote <sup>(aspa simples)</sup> encontrada.

Note que no PHP existe a diretiva [magic_quotes_gpc][4]. Em versões inferiores ao PHP5.4, essa diretiva poderia estar ativada. Então é importante verificar se está ativada ou não nessas versões do PHP. Quando `magic_quotes_gpc` está ativo, addslashes() é aplicado automaticamente nas variáveis globais `$_GET`, `$_POST`, `$_COOKIES`.


#strip_tags()

    $text = '<p>Test paragraph.</p><!-- Comment --> <a href="#fragment">Other text</a>';
    echo strip_tags($text);


A função remove tudo que é HTML, e tags JavaScript e CSS.

O segundo parâmetro da função serve para especificar exceções:

    $text = 'foo<br>bar';
    echo strip_tags($text, '<br>');

Nesse segundo exemplo, remove todas as tags HTML, exceto a tag `<br>`

Para prevenir-se de ataques de injeções SQL, prefira funções como [mysqli_real_escape_string()][5]. Para mais detalhes sobre o assunto consulte esse link: http://pt.stackoverflow.com/questions/50839/usar-o-addslashes-contra-inje%C3%A7%C3%A3o-de-sql-%C3%A9-seguro

#htmlentities

Converte caracteres especiais, ou seja, caracteres não alfa numéricos, em HTML entities.

Falando de forma mais simples, você já deve ter visto códigos desse tipo `a&ccedil&atilde;` no código HTML e na página do browser aparece como `ação`. Isso são os HTML entities.

A principal utilidade é permitir visualizar códigos HTML sem que os mesmos sejam interpretados, ou seja, serão tratados como texto plano (plain/text).

Suponha que deseja exibir um código HTML `<b>texto</b>`. Então poderá usar HTML entities:

    echo htmlentities('<b>texto</b>');

Outro uso comum e não recomendo é para exibir caracteres de idiomas multibyte ou mesmo caracteres latinos com acentuação. 

Nota: Não confunda **HTML Entities** com **URL encoded** ([urlencode()][6]). Pois ambos são codificações distintas.


  [1]: http://php.net/addslashes
  [2]: http://php.net/strip_tags
  [3]: http://php.net/htmlentities
  [4]: http://php.net/manual/en/info.configuration.php#ini.magic-quotes-gpc
  [5]: http://php;net/mysqli_real_escape_string
  [6]: http://php.net/urlencode