php中给字符串加引号应根据场景选择：普通拼接用'”‘ . $str . ‘”‘或””{$str}””；json输出用json_encode()；sql拼接必须用pdo::quote()或预处理语句，禁用手动拼接。
字符串里要显示引号，得用转义还是拼接？
PHP 里给字符串「两边加引号」不是语法操作，而是内容构造问题——你真正需要的，是让变量值或字面量最终输出为 "hello" 或 'world' 这样的形式。直接写 ""hello"" 或 '"hello"' 最常用，但容易漏掉转义或混淆单双引号行为。
- 双引号字符串里，
"必须写成"才能作为字符输出，否则会被当成字符串边界 - 单引号字符串里，
"不需要转义，但'和本身必须转义（'、） - 如果字符串来自变量（比如
$str = 'abc'），想变成"abc"，就得手动拼：""{$str}""或'"' . $str . '"'
json_encode() 是最省心的加引号方式吗？
是，但只适用于你想输出 JSON 字符串格式的场景。它会自动加双引号、转义内部特殊字符（如换行、反斜杠），还能处理 NULL、Array 等类型。但它不是“通用引号包装函数”，别用它去包普通字符串然后当纯文本用。
-
json_encode('hello "world"')→"hello "world""（带转义，适合塞进 JS 变量） -
json_encode('a b')→"anb"（换行变n，原意被改变） - 如果只是日志打印或 SQL 拼接，用它反而多出一堆反斜杠，读起来费劲
SQL 场景下给字符串加引号，为什么不能自己拼？
因为引号只是表象，核心是防止 SQL 注入。你自己写 "'{$user_input}'" 看似加了引号，但若 $user_input 是 Robert'; DROP table students; --，结果就是严重漏洞。
- 正确做法永远是预处理语句：
$stmt = $pdo->prepare("select * FROM users WHERE name = ?"); $stmt->execute([$name]); - 如果非要用字符串拼（比如动态构建查询条件），必须用
pdo->quote()：$quoted = $pdo->quote($name);→ 返回已加引号且转义的安全字符串 -
addslashes()或mysql_real_escape_string()已废弃，别碰
echo 输出带引号的字符串，浏览器看不到引号？
不是没加，是浏览器把引号当普通字符渲染了，但源码里有。如果你在 HTML 页面里写 echo '"hello"';，页面显示 "hello"，但查看网页源代码能看到它。真正在意「是否生效」，得看实际使用位置：
立即学习“PHP免费学习笔记（深入）”；
- 放在 JavaScript 里：
var msg = <?php echo json_encode($str); ?>;—— 必须用json_encode，否则引号不匹配或 xss - 写进 HTML 属性：
<div data-value="<?php echo htmlspecialchars($str, ENT_QUOTES); ?>"></div>—— 单双引号都要转义，否则属性截断 - 命令行输出：
echo '"' . $str . '"';最直白，无兼容性问题
事情说清了就结束。引号本身不难，难的是每次加之前，先想清楚这串带引号的字符串最后去哪、被谁解析、有没有中间层（HTML/JS/SQL）在等着吃掉你的引号或误解你的转义。