一、phpmysql单引号转义
1.php中addslashes函数与sql防注入。
2. 转义特殊字符mysqli_real_escape_string()转义字符串中的特殊字符（如单引号、双引号、反斜杠等），使其在 SQL 查询中失去语法意义。
3.array = json_encode($arr， JSON_UNESCAPED_SLASHES)；使用str_replace替换反斜杠：如果你不能使用JSON_UNESCAPED_SLASHES选项（由于PHP版本限制），你可以使用str_replace来替换转义后的反斜杠。但这种方法不如使用选项直接，且可能在其他需要转义的情况下引入问题。
4.当PHP应用使用addslashes()或mysql_real_escape_string()转义用户输入时，若数据库连接字符集为单字节编码（如Latin1），攻击者可构造形如%df%27的输入。经转义后变为%df%5c%27，在GBK中%df%5c被解析为合法汉字，导致转义符被“吃掉”，单引号%27逃逸形成注入。
二、addslashes用途与php怎样防止mysql注入
1)你可以使用内置的addslashes函数，或者使用我下面自己封装的函数，把$_GET 或者 $_POST的值做处理。
2)一个使用 addslashes() 的例子是当你要往数据库中输入数据时。将名字 O'；reilly 插入到数据库中，这就需要对其进行转义。大多数据库使用 \ 作为转义符：O\'；reilly。这样可以将数据放入数据库中，而不会插入额外的 \。
3)使用PHP检索MySQL中存储的图像（不推荐方式）若仍需实现此功能，可按照以下步骤操作（但请注意，这并非最佳实践）：插入图像到数据库 读取图像文件为二进制数据。对二进制数据进行转义处理，以防止SQL注入。将转义后的二进制数据插入到数据库的BLOB类型字段中。
4)转义字符串。将引号转义了，也就是在引号前面加反斜杠\，一般在sql语句中是经常用到的，将一个不必要的引号转义成字符串，让它不具备特殊的含义，避免被黑客进行sql注入。
5)PHP防止宽字节注入的核心方案是使用预处理语句并统一全栈字符编码为UTF-8，同时结合输入验证、最小权限原则等辅助措施构建全面防护体系。宽字节注入的成因宽字节注入源于多字节字符集（如GBK）与数据库字符集处理不一致。
6)使用PDO防注入。这是最简单直接的一种方式，当然低版本的PHP一般不支持PDO方式去操作，那么就只能采用其它方式。采用escape函数过滤非法字符。escape可以将非法字符比如 斜杠等非法字符转义，防止sql注入，这种方式简单粗暴，但是不太建议这么用。
三、PHP如何防止宽字节注入_PHP宽字节注入防护方案
1.漏洞发现与验证 目标IP与初步测试 已知目标IP为：http：//228：41742ew_list.php？id=1 在URL中加入单引号后，页面并未报错，初步判断可能存在注入点，但需要进一步验证。
2.防御方法：需要确保在参数处理的整个流程中都进行严格的过滤和验证，避免在后续处理中对已经过滤的参数进行不必要的解码操作。可以使用预编译方式、过滤函数和类等方法来增强应用程序的安全性。宽字节注入和二次注入都是Sql注入漏洞的常见类型，它们利用了编码和处理流程中的漏洞来绕过安全机制。
3.宽字节注入代码分析 在宽字节注入页面中，程序首先获取GET参数ID，对该参数使用addslashes()进行转义，然后将转义后的ID拼接到SQL语句中进行查询。当访问id=1'；时，执行的SQL语句为SELECT FROM users WHERE id='；1\'；。单引号被转义符“\”转义，通常情况下无法注入。
4.使用一些特殊字符来”吃掉“经过转义符 “ \ ” 。在重新详细了解宽字节注入之前，我认为宽字节注入只是出现在网站使用GBK编码的时代，现在已经很少出现了，但是实际上宽字节不只是出现在GBK编码中。
5.宽字节注入：学习宽字节注入的原理和防御方法。CSRF跨站点请求：了解CSRF攻击的原理和防御策略。XSS：学习XSS（跨站脚本攻击）的原理和防御方法。文件上传漏洞：了解文件上传漏洞的原理和利用方法。php远程/本地文件包含：学习PHP文件包含漏洞的原理和利用方法。
6. Low级别 源码直接获取用户输入的用户名和密码，密码经过MD5加密，避免了通过密码进行SQL注入的可能。但输入的用户名和密码未经任何过滤和检查。 Medium级别 用户名部分使用mysqli_real_escape_string(str)函数对特殊符号进行转义，除宽字节注入外，可抵抗其余SQL注入。
四、PHP读取MySQL数据转JSON后URL中的斜杠变为反斜杠如何解决
1.检查路径是否存在或字段名拼写使用IFNULL()提示缺失字段：SELECT IFNULL(JSON_EXTRACT(user_info， '；$.name'；)， '；字段缺失'；) FROM users； 注意字符集与转义问题特殊字符转义：JSON字符串中包含引号、反斜杠时需正确转义。
2.虽然这不是一个推荐的方法，但在某些情况下，你可以尝试在输出JSON之前对字符串进行urldecode处理。这种方法可能会引入其他问题，因此应谨慎使用。最推荐的方法是使用JSON_UNESCAPED_UNICODE选项，因为它简单、直接且有效。确保数据库连接和PHP文件编码也是解决乱码问题的重要步骤。
3.JSON编码与解码基础编码函数：使用json_encode()将PHP变量转为JSON字符串，必须确保数据为UTF-8编码。解码函数：使用json_decode()解析JSON字符串为PHP变量（对象或数组），需检查返回值有效性。判断JSON字符串有效性基础检查：json_decode()返回null时可能无效，但需区分内容本身为null的情况。
4.解决办法是在使用json_encode之前把字符用函数urlencode()处理一下，然后再json_encode，输出结果的时候在用函数urldecode()转回来。
5.PHP的json_encode()函数默认会将字符转换为Unicode转义序列（如u6211），而非直接输出字符，这可能导致显示乱码。
6.检查数据库连接编码（如MySQL的SET NAMES utf8mb4）。确保PHP文件本身保存为UTF-8无BOM格式（避免编辑器添加隐藏字符）。其他注意事项 若从文件读取JSON，确认文件实际编码与转换目标一致。使用json_last_error()检查解码错误，辅助定位问题。
五、php提供一下哪些函数来避免sql注入
1)在php.ini中禁用高危函数（如disable_functions = system，exec，passthru）。最小权限原则 确保Web服务器用户（如www-data）对文件系统仅有必要权限，避免删除系统文件。转义输出 使用htmlspecialchars()防止XSS，对数据库查询使用预处理语句（PDO/mysqli）避免SQL注入。
2)使用预处理语句防止SQL注入：在与数据库交互时，使用预处理语句来防止SQL注入攻击。
3)PHP防止sql注入是一个比较低级的问题了，这个问题其实在我大一上学期做第一个个人博客的时候就已经关注过了，不过简单的说一下关于PHP防注入的方式吧。使用PDO防注入。这是最简单直接的一种方式，当然低版本的PHP一般不支持PDO方式去操作，那么就只能采用其它方式。采用escape函数过滤非法字符。
4)mysql_escape_string 是一个 PHP 函数，用于将输入的字符串进行转义处理，以增强 SQL 查询的安全性，预防 SQL 注入攻击。以下是详细说明：主要功能：mysql_escape_string 的主要作用是对输入的字符串进行转义，确保其在执行 mysql_query 时不会引起 SQL 语法错误或安全问题。
5) 防范跨站脚本攻击（XSS）输入验证与转义：对所有用户输入（如表单、URL参数）使用htmlspecialchars()函数转义HTML标签，防止恶意脚本注入。输出过滤：在显示动态内容前，确保特殊字符（如<， >， &）被转换为HTML实体。
