PHPのaddslashes()関数の使い方｜文字列のエスケープ処理をわかりやすく解説

addslashes()関数とは

PHPのaddslashes()関数は、文字列内の特定の文字の前にバックスラッシュ（\）を付加した文字列を返す関数です。主に、データベースへのクエリなどで引用符を含む文字列を安全に扱うためのエスケープ処理に利用されます。

エスケープ対象となる文字

この関数が自動的にエスケープするのは、以下の4種類の文字です。

• シングルクォート（'）
• ダブルクォート（"）
• バックスラッシュ（\）
• NULL（NULバイト）

構文

addslashes(str)

パラメータ

• str − エスケープ処理を行いたい文字列を指定します。

戻り値

エスケープ対象の文字の前にバックスラッシュが付加された文字列を返します。

使用例1：シングルクォートのエスケープ

以下は、シングルクォートを含む文字列にaddslashes()を適用する例です。

<?php
   $s = "Who's Tom Hanks?";
   echo $s . " Unsafe for database query!<br>";
   echo addslashes($s) . " Safe in a database query!";
?>

出力結果

Who's Tom Hanks? Unsafe for database query!
Who\'s Tom Hanks? Safe in a database query!

「Tom's」のシングルクォートの前にバックスラッシュが付加され、「Tom\'s」に変換されていることがわかります。これにより、SQL文の中で文字列が正しく解釈されるようになります。

使用例2：ダブルクォートを含む文字列

次に、別の例を見てみましょう。

<?php
   $s = addslashes('Cricket is a “religion” in India.');
   echo($s);
?>

出力結果

Cricket is a “religion” in India.

なお、この例で使われている「“」「”」はUnicodeの全角引用符（スマートクォート）のため、ASCIIのダブルクォート（"）とは異なり、addslashes()によるエスケープ対象外である点に注意してください。

使用時の注意点

addslashes()は手軽なエスケープ手段ですが、データベースへのクエリを安全にする目的での使用は推奨されていません。MySQLを利用する場合は、mysqli_real_escape_string()関数や、PDOなどのプリペアドステートメントを使うことがベストプラクティスとされています。特に日本語などのマルチバイト文字を扱う環境では、addslashes()では正しくエスケープできないケースがあるため、注意が必要です。