数据库取出的含单双引号字符串无法传入JavaScript函数求解

你遇到的问题核心是字符串在PHP、HTML属性、JavaScript三层环境中转义规则不匹配，具体有两个关键矛盾：

1. 参数未被字符串引号包裹：你传递给myFunction的参数没有加引号，JavaScript会把它拆成多个标识符（比如This、is），而非完整字符串，直接触发语法错误。
2. 转义函数场景不匹配：addslashes是为PHP内部字符串转义设计的，不适合HTML+JS混合场景。你的onclick用单引号包裹属性值，当字符串里的单引号被addslashes转成\'后，浏览器解析HTML时会把\'还原成'，直接和外层单引号闭合，导致onclick的语法结构被破坏。

举个实际生成的HTML例子，你的代码会输出：

<button onclick='myFunction(This is a test\'s \"output\".)'></button>

浏览器解析后，onclick内容会被截断成myFunction(This is a test，剩下的s \"output\".)变成无效代码，自然无法调用函数。

处理跨环境字符串传递，最稳妥的方式是用**json_encode生成合法JS字符串**，再配合htmlspecialchars处理HTML属性转义：

<?php 
$sample = "This is a test's \"output\"."; 
// 先转成符合JS语法的字符串（自带引号+正确转义内部引号）
$jsSafeValue = json_encode($sample);
// 再转义HTML属性中的特殊字符，避免和onclick的单引号冲突
$htmlSafeValue = htmlspecialchars($jsSafeValue, ENT_QUOTES);
?> 
<button onclick='myFunction(<?php echo $htmlSafeValue;?>)'></button> 
<script> 
function myFunction(val){ 
    alert(val); 
} 
</script>

为什么这能解决问题？ #

• json_encode会自动把PHP字符串转换成JS认可的格式：你的示例字符串会被转成"This is a test's \"output\"."，自带双引号且内部引号转义正确。
• htmlspecialchars(..., ENT_QUOTES)会把字符串里的单/双引号转成HTML实体（'→'，"→"），放在单引号包裹的onclick属性里不会出现引号闭合冲突。

最终生成的HTML是：

<button onclick='myFunction("This is a test&#039;s &quot;output&quot;.")'></button>

浏览器解析后会正确还原成完整的JS字符串，函数就能正常接收参数了。

额外提醒 #

mysql_escape_string已经是废弃函数，建议改用mysqli_real_escape_string，或者更安全的**预处理语句（Prepared Statements）**来防范SQL注入，这是现代PHP数据库操作的标准做法。

内容的提问来源于stack exchange，提问作者harvey carope