Escapar e desescapar strings

Coloque uma barra invertida antes de cada aspa dupla dentro de uma string JSON, assim He said "hi" é escrito como "He said \"hi\"". A própria barra invertida também precisa ser duplicada, como \\. Aspas simples não precisam de escape em JSON, porque strings JSON são sempre delimitadas por aspas duplas.

Escreva \n onde a linha deve quebrar. JSON não permite uma quebra de linha real dentro de uma string, então em um texto de várias linhas cada quebra de linha e cada tabulação precisam ser escapadas como \n e \t. Um fim de linha do Windows vira \r\n. Colar aqui um texto de várias linhas produz exatamente isso.

Duplique a aspa simples: O'Brien é escrito 'O''Brien' dentro de uma string SQL. SQL padrão, PostgreSQL, SQL Server, Oracle e SQLite seguem essa regra. O MySQL também aceita uma barra invertida antes da aspa, mas duplicar funciona lá também, então duplicar é a escolha segura para qualquer banco de dados.

Barras invertidas por toda parte geralmente significam que o JSON foi armazenado como string dentro de outro JSON, então suas aspas viraram \" e suas quebras de linha \n. Desfaça o escape uma vez com a opção JSON e você recebe o JSON interno de volta; se ainda aparecerem barras invertidas, ele foi escapado duas vezes e precisa de uma segunda passada.

O escape marca caracteres especiais dentro de um formato para que sejam lidos literalmente, como \" dentro de uma string JSON. A codificação reescreve o texto inteiro em outra forma, como Base64 ou codificação por porcentagem para URLs. Uma string escapada continua legível; uma codificada geralmente não. Use a ferramenta URL Encoder ou Base64 para essas tarefas.

Não. Escapar à mão é fácil de errar entre bancos de dados e conjuntos de caracteres, e uma única aspa esquecida basta para uma injeção. Use consultas parametrizadas ou prepared statements no código da aplicação, em que o banco de dados recebe o valor separado do SQL. O escape manual serve para scripts pontuais, migrações e correções de dados.