转义是指在程序中将特殊字符转换成机器能够识别的形式。在 php 中，也存在这样的转义。php 转义通过在字符之前添加反斜线“\”来实现。例如，要将双引号（"）转义，可以这样写：
echo "She said \"Hello\"";
这样就会在屏幕上输出：She said "Hello"。
在 PHP 中，有很多需要转义的字符。下面列举了一些常见的需要转义的字符及其转义字符：
| 需要转义的字符 | 转义字符 |
|---|---|
| 单引号 | \' |
| 双引号 | \" |
| 反斜杠 | \ |
| 换行符 | \n |
| 回车符 | \r |
| 水平制表符 | \t |
如果不进行转义会导致语法错误或者程序出错。
在使用数据库的时候，也需要进行转义。如果不进行转义，用户可能会向数据库中插入恶意代码，导致系统被攻击。PHP 为我们提供了两个函数可以进行转义：mysqli_real_escape_string() 和 addslashes()。
立即学习“PHP免费学习笔记（深入）”；
mysqli_real_escape_string() 函数是 PHP 提供的 MySQL 转义函数，兼容性较好，支持多种字符集。addslashes() 函数是 PHP 的内置函数，转义字符是固定的，只支持字符集为 ISO-8859-1 的字符串。
下面是一个使用 mysqli_real_escape_string() 函数的例子：
$mysqli = new mysqli("localhost", "username", "password", "database");
if ($mysqli->connect_errno) {
echo "Failed to connect to MySQL: " . $mysqli->connect_error;
exit();
}
$name = mysqli_real_escape_string($mysqli, $_POST['name']);
$email = mysqli_real_escape_string($mysqli, $_POST['email']);
$message = mysqli_real_escape_string($mysqli, $_POST['message']);
$query = "INSERT INTO messages (name, email, message) VALUES ('$name', '$email', '$message')";
$result = $mysqli->query($query);
if ($result === TRUE) {
echo "Message sent successfully";
} else {
echo "Error: " . $mysqli->error;
}
$mysqli->close();在上面的例子中，我们使用 mysqli_real_escape_string() 函数来转义用户输入的 name、email 和 message，以避免 SQL 注入攻击。
除了 MySQL 外，其他数据库也需要进行转义。不同的数据库有不同的转义方式，需要根据具体情况选择适合的转义函数。
总结一下，转义是编写安全 PHP 程序的重要环节，必须谨慎使用。在输出字符或向数据库中插入数据时，都需要进行转义。推荐使用 mysqli_real_escape_string() 函数进行转义，以避免遗漏转义字符。
