还在担心 PHP 安全？Escape 方法了解一下！

发布日期： 2025-10-14 阅读量： 作者： admin

今天跟大家聊聊我最近折腾的 “escape php” 这个事儿，说起来有点绕，但确实踩了不少坑，也学到不少东西。

起初，是接手了一个老项目，代码那个年代感，简直了！里面各种奇奇怪怪的函数，其中就有一个叫 `escape` 的，当时也没太在意，以为就是个简单的字符串处理函数。

结果，跑起来就出问题了。页面显示乱码，数据存不进去，各种报错，看得我头都大了。然后就开始debug，一点一点地捋代码。发现这个 `escape` 函数，它不是PHP自带的，而是自定义的！而且它的实现方式也很粗暴，就是简单地把一些特殊字符替换成其他字符。

问题就出在这里！

当时我就震惊了，这代码也太不安全了！

开始改造

既然找到了问题，那就开始解决。我的思路是，把这个自定义的 `escape` 函数替换掉，用PHP自带的、更安全的函数来处理。

第一步，替换HTML实体编码。 对于HTML输出，我用 `htmlspecialchars()` 函数来代替，这个函数可以把HTML特殊字符转换成HTML实体，防止XSS攻击。用法很简单：

<?php echo htmlspecialchars($data, ENT_QUOTES, 'UTF-8'); ?>

第二步，替换SQL注入防护。 对于SQL语句，我强烈建议使用 `mysqli_real_escape_string()` 或者 PDO 的 `quote()` 方法。我选择了PDO，因为PDO更灵活，可以支持多种数据库。用法如下：

先建立PDO连接：

<?php $pdo = new PDO('mysql:host=localhost;dbname=test', 'username', 'password'); ?>

然后使用 `quote()` 方法：

<?php $safeData = $pdo->quote($data); ?>

这样就可以把特殊字符转义，防止SQL注入。

第三步，URL编码。 有些时候，需要在URL中传递参数，这时就要进行URL编码。PHP提供了 `urlencode()` 和 `rawurlencode()` 函数。我选择了 `rawurlencode()`，因为它更符合RFC规范。

用法：

<?php $encodedData = rawurlencode($data); ?>

在替换的过程中，也踩了不少坑。比如：

替换 `escape` 函数不是一件简单的事情，需要仔细考虑各种情况，才能保证代码的安全和正确性。

我想说的是，安全无小事。在开发过程中，一定要时刻保持警惕，注意防范各种安全漏洞。不要偷懒，不要用自己不熟悉的函数，尽量使用PHP自带的、经过验证的安全函数。这样才能写出更安全、更可靠的代码。