Eso ocurre porque addslashes()
:
Devuelve un string con barras invertidas delante de los caracteres que necesitan ser escapados. Estos caracteres son la comilla simple ('
'
), comilla doble (""
), barra invertida (\
) y NULNUL
(el byte NULLNULL
).
Dado que estás usando consultas preparadas, no necesitas:
- Ni usar
addslashes()
- Ni usar
htmlentities()
Las consultas preparadas de por sí te blindarán contra intentos de inyecciónLas consultas preparadas de por sí te blindarán contra intentos de inyección. Si quisieras mostrar en pantalla lo que hay en $var
, entonces sí podrías filtrar (para mostrar en pantalla, no para insertar), por lo ya dicho. Entonces para la inserción puedes pasar el dato sin filtrarlo.
Una nota sobre optimización y estandarización
Viendo que usas rowCount()
para saber si una consulta SELECT
trae filas, voy a citar una parte de la documentación al respecto:
Si la última sentencia SQL ejecutada por el objeto PDOStatement asociado fue una sentencia
SELECT
, algunas bases de datos podrían devolver el número de filas devuelto por dicha sentencia. Sin embargo, este comportamiento no está garantizado para todas las bases de datos y no debería confiarse en él para aplicaciones portables.
Eso significa que rowCount()
no siempre es un camino seguro para saber si una consulta trae filas.
El camino más seguro es siempre usar una consulta del tipo SELECT COUNT(*) ...
y, en caso de que necesites los datos de esa consulta, puedes llenar un conjunto de resultados y luego hacer una verificación sobre dicho objeto.
Para más detalles sobre esto puedes consultar la mejor guía de PDO del mundo, gracias a ella aprendí a a manejarme adecuadamente con esta API.