【php去转义】在PHP开发过程中，经常会遇到字符串被转义的情况，例如通过`htmlspecialchars()`、`addslashes()`等函数处理后的字符串。这些转义操作虽然有助于防止XSS攻击或SQL注入，但在某些情况下需要将转义后的字符串还原为原始内容，这就需要用到“去转义”操作。
下面是对PHP中常见转义方式及其对应的去转义方法的总结。
一、常见转义函数与去转义方法对比
| 转义函数 | 功能说明 | 去转义函数/方法 | 说明 |
| `htmlspecialchars()` | 将HTML特殊字符转换为实体（如 `<` → `<`） | `htmlspecialchars_decode()` | 可以将HTML实体还原为原字符 |
| `addslashes()` | 在字符串中的某些字符前添加反斜杠（如 `'` → `\'`） | `stripslashes()` | 移除字符串中的反斜杠 |
| `mysql_real_escape_string()` | 对字符串进行SQL转义 | 无直接对应函数，需手动处理 | 通常用于数据库查询前的过滤，去转义需根据具体逻辑处理 |
| `json_encode()` | 将PHP数组或对象编码为JSON字符串 | `json_decode()` | 可将JSON字符串解码回PHP数据类型，自动处理转义字符 |
| `urlencode()` | 对URL参数进行编码 | `urldecode()` | 将编码后的URL参数还原为原始字符串 |
二、使用示例
示例1：使用 `htmlspecialchars_decode()`
```php
$escaped = htmlspecialchars("Hello World");
echo $escaped; // 输出: Hello <b>World</b>
$unescaped = htmlspecialchars_decode($escaped);
echo $unescaped; // 输出: Hello World
```
示例2：使用 `stripslashes()`
```php
$escaped = addslashes("It's a test");
echo $escaped; // 输出: It\'s a test
$unescaped = stripslashes($escaped);
echo $unescaped; // 输出: It's a test
```
示例3：使用 `json_decode()`
```php
$data = json_encode(["name" => "John", "age" => 30]);
echo $data; // 输出: {"name":"John","age":30}
$decoded = json_decode($data, true);
print_r($decoded); // 输出: Array ( [name] => John [age] => 30 )
```
三、注意事项
- 安全性问题：去转义时要确保数据来源可信，避免引入潜在的安全风险。
- 函数选择：根据不同的转义方式选择对应的去转义函数，不要混用。
- 多层转义：如果字符串被多次转义，可能需要多次调用去转义函数才能恢复原始内容。
四、总结
在PHP中，“去转义”是将经过转义处理的字符串还原为原始内容的过程。常见的转义函数包括`htmlspecialchars()`、`addslashes()`、`json_encode()`等，每种都有对应的去转义方法。正确使用这些函数可以提高程序的安全性和可维护性。开发过程中应根据实际需求选择合适的转义和去转义方式，并注意数据的安全性。