Как экранировать специальные символы?

// Для HTML - защита от XSS
$safe = htmlspecialchars($input, ENT_QUOTES, 'UTF-8');
// < > " ' & заменяются на HTML-сущности

// htmlentities - больше символов
$safe = htmlentities($input, ENT_QUOTES, 'UTF-8');

// Для URL
$encoded = urlencode("hello world"); // "hello+world"
$encoded = rawurlencode("hello world"); // "hello%20world"

// Для SQL - НЕ ИСПОЛЬЗУЙТЕ!
// addslashes() - небезопасно
// Используйте prepared statements

Главное правило: экранируйте данные в контексте использования - HTML, URL, SQL, JSON, командная строка.