防御SQL注入应优先用mysqli_real_escape_string()或预处理语句；addslashes()仅作备选，它转义单引号、双引号、反斜杠和NULL；addcslashes()可精确控制转义字符范围；htmlspecialchars()用于防XSS，只转义&、"、'、<、>五个字符；htmlentities()转义所有可表示的非ASCII字符。
按转义目的分类：防御SQL注入用
当字符串要拼入SQL语句时，必须阻止引号破坏语句结构。使用 【addslashes()】 是最直接的手段——它自动在单引号、双引号、反斜杠和 NULL 字符前加反斜杠。
若已启用 mysqli 扩展，优先用 mysqli_real_escape_string()，它会根据当前连接的字符集做精准转义，比 addslashes() 更安全。
注意：不要对已由 PDO::quote() 或预处理语句（prepare/execute）处理过的字符串再调用 addslashes()，否则会导致多余反斜杠残留。
按转义范围分类：手动指定字符
方法一：用 addcslashes() 精确控制哪些字符被转义。例如只转义 HTML 中危险的 < 和 >：addcslashes($str, '<>')。
立即学习“PHP免费学习笔记（深入）”；
方法二：若需转义 ASCII 控制字符（如 、
、
），addcslashes($str, " .. ") 可批量处理八进制 0–31 范围内的字符。
⚠️特别注意：addcslashes() 对
、 等会按 C 风格解释为换行符、制表符，不是字面量反斜杠+n；若想保留字面量
，必须写成 '
'。
按输出场景分类：面向 HTML 渲染
第一步：判断是否需要保留原始格式。如果只是防 XSS，且不希望用户输入的换行、空格被浏览器忽略，用 htmlspecialchars() 即可——它只转义 &、"、'、<、> 五个字符。
第二步：若内容含富文本或需保留部分 HTML 标签（如 <b>、<p>），改用 htmlentities()，它把所有可表示的非 ASCII 字符也转成实体，兼容性更强。
第三步：若原始字符串已含 HTML 实体（如 &），且需还原显示原文，调用 html_entity_decode() 并显式指定 ENT_QUOTES | ENT_HTML5 标志。
按语法层级分类：PHP 解析器级转义
单引号字符串中，仅 ' 和 \ 有效；其余如
、 全部按字面输出。
双引号字符串支持完整转义序列：
（换行）、 （制表）、$（避免变量解析）、{（避免花括号被当作变量定界符）。
heredoc 语法下，变量仍会被解析，但换行和缩进保留原样；nowdoc 语法则完全禁用解析，等效于加强版单引号字符串。
