为何htmlentities会破坏SQL查询？附PHP脚本问题求助

这个问题我之前帮朋友排查过，核心是你搞混了htmlentities()和mysqli_real_escape_string()的适用场景——这俩函数完全是为不同目的设计的，硬凑在一起反而把你的SQL语句给“改坏”了。

先搞懂两个函数的真实作用 #

• htmlentities(): 这是用来处理要输出到HTML页面的内容，目的是防止XSS攻击。它会把HTML特殊字符（比如<、>、'、"）转换成对应的HTML实体（比如<、>、'、"），让浏览器把这些字符当成普通文本渲染，而不是解析成HTML标签或脚本。
• mysqli_real_escape_string(): 这是专门为SQL语句处理设计的，作用是转义SQL语法里的特殊字符（比如'转成\'），让数据库能正确识别字符串的边界，同时避免基础的SQL注入风险。

为什么加了htmlentities()就执行失败？ #

举个实际例子：假设你POST过来的SQL是：

INSERT INTO users (name) VALUES ('Alice')

经过htmlentities()处理后，单引号会被转换成'，最终SQL变成：

INSERT INTO users (name) VALUES ('Alice')

数据库根本不认识'这种HTML实体，它只认SQL语法里的单引号'，所以这条语句会直接触发语法错误，自然执行失败。

正确的处理方式 #

1. 如果是要执行用户传的SQL：
   直接去掉htmlentities()这一行就行——但必须严肃提醒你：允许用户直接提交并执行SQL语句是极度危险的操作！任何恶意用户都能轻松删库、窃取数据，绝对不能在生产环境这么做！

2. 如果是要把SQL语句输出到页面展示：
   不要在执行前用htmlentities()，而是在echo $sql;的时候处理，比如改成：

   echo htmlentities($sql, ENT_QUOTES, "UTF-8");
   

   这样既不会影响SQL执行，又能保证页面展示时的安全性。

内容的提问来源于stack exchange，提问作者ncpa0cpl