本文目录
什么是字符串转义？
字符串转义是向字符串中添加特殊字符或序列的过程，使那些具有语法含义的字符被当作字面文本处理。每一种编程语言和数据格式都会保留某些用于结构目的的字符——JSON 中的引号、HTML 中的尖括号、URL 中的百分号——而转义可确保这些字符被解释为数据而非语法。
如果不进行正确的转义，包含特殊字符的字符串会引发解析错误、跨站脚本（XSS）和 SQL 注入等安全漏洞，或产生损坏的输出。理解何时以及如何转义字符串，是每一位处理数据交换、Web 内容或数据库操作的开发者都必须掌握的基本功。
转义格式详解
不同的上下文有不同的转义规则。以下是最常见的几种格式及它们所防范的问题：
- JSON 转义——用反斜杠转义引号（\"）、反斜杠（\\）和控制字符（\n、\t、\r）。在将字符串嵌入 JSON 数据结构时必须进行
- HTML 转义——将 < 转换为 <，> 转换为 >，& 转换为 &，" 转换为 "，' 转换为 '。防止浏览器将用户内容解释为 HTML 标签或属性
- URL 编码——将不安全的字符替换为 %XX 十六进制码（空格变为 %20，@ 变为 %40）。确保特殊字符能安全地通过 URL，而不会破坏查询参数
- SQL 转义——将单引号加倍（' 变为 ''）并转义反斜杠。通过确保用户输入无法改变查询结构来防止 SQL 注入攻击
- 正则表达式转义——在 . * + ? { } [ ] ( ) ^ $ | \ 等元字符前加上反斜杠。使这些字符能够在正则表达式中被按字面匹配
常见应用场景
字符串转义贯穿整个软件开发生命周期。以下是你最常用到它的场景：
- 在代码中嵌入用户输入——将用户提供的值插入 JSON、HTML 模板或 SQL 查询时，正确的转义既能防止语法错误，也能防止安全漏洞
- 净化表单输入——Web 应用在浏览器中渲染用户提交的内容之前必须对其进行转义，以防范可能窃取会话 Cookie 或重定向用户的 XSS 攻击
- 构建 API 载荷——以编程方式构造 JSON 请求体时，所有字符串值都必须正确转义，才能生成接收方 API 能够解析的有效 JSON
免费试用 —— 无需注册
试用字符串转义工具 →转义与编码：有什么区别？
转义和编码常被混淆，因为二者都会转换文本，但它们的用途不同。转义是给字符添加标记（如反斜杠），使其在当前上下文中被按字面处理。输出仍保持相同的格式——经过 JSON 转义的字符串依然是 JSON。
编码则是将数据从一种表示形式彻底转换为另一种。Base64 编码将二进制数据转换为 ASCII 文本。URL 编码将字符转换为百分号十六进制序列，以便在 URL 中安全传输。关键区别在于：转义保留格式，编码则改变格式。
技巧与最佳实践
正确的字符串转义能防止 Bug、安全漏洞和数据损坏。遵循以下做法可避免常见错误：
- 在边界处转义——始终在字符串进入新上下文的那一刻进行转义（例如插入 HTML 时、构建 SQL 时），不要过早或过晚
- 避免重复转义——如果你的框架已经对输出进行了转义（如 Vue.js 的模板插值），再手动添加转义会在输出中产生可见的反斜杠或实体码
- 使用与上下文匹配的转义——HTML 转义无法防范 SQL 注入，SQL 转义也无法防止 XSS。请始终使用与目标上下文相匹配的转义方法
常见问题解答
我应该手动转义字符串，还是使用库？
始终优先使用库函数，而非手动转义。各种语言和框架都提供了内置的转义工具（如 JavaScript 中的 encodeURIComponent、PHP 中的 htmlspecialchars，或用于 SQL 的参数化查询），它们能正确处理各种边界情况。手动转义容易出错，还会遗漏不常见的字符。
字符串转义能防范所有 XSS 攻击吗？
HTML 转义通过中和 < > & " 等字符，能防范大多数 XSS 攻击。然而，它并不能防范所有攻击途径。插入到 JavaScript 上下文、CSS 属性或 URL 属性中的内容需要额外的、与上下文匹配的净化处理。再配合内容安全策略（CSP）响应头构建多层防御，才能提供最强的防护。
当数据流经多种格式时，我应该按什么顺序转义？
先为最内层的上下文转义，然后由内向外逐层进行。例如，若要将一个字符串嵌入 JSON，而该 JSON 又将被放入 HTML 属性中，则应先对该值进行 JSON 转义，再对整个 JSON 字符串进行 HTML 转义。颠倒顺序会产生重复转义或错误转义的输出。