الدالة htmlspecialchars() في PHP: تهريب HTML ومنع XSS

تحوّل htmlspecialchars($text) المحارف & و< و> و" و' إلى & و< و> و" و'. استدعها على كل جزء من مُدخلات المستخدم تطبعه في صفحة، فتُعرض المُدخلات نصًا بدل أن تُقرأ HTML.

تطبع الكتلة التعليق نفسه مرتين، مرة خامًا ومرة مهرّبًا. شغّلها وقارن السطرين في تبويب Page، ثم اكتب HTML خاصًا بك في النموذج، مثل <h1>big</h1> أو <img src=x>، واضغط Show.

<?php
$comment = $_POST['comment'] ?? '<b>Great</b> post, <i>thanks</i> & "see you"';
?>
<form method="post">
  <input name="comment" size="40" value="<?= htmlspecialchars($comment) ?>">
  <button>Show</button>
</form>
<p>Raw: <?= $comment ?></p>
<p>Escaped: <?= htmlspecialchars($comment) ?></p>

في السطر الخام يطيع المتصفح الوسوم: الكلمة العريضة عريضة، والزائر الذي يكتب <script> يجعل سكربته يعمل في متصفح كل قارئ آخر. ويسمى هذا الهجوم البرمجة عبر المواقع (XSS). وفي السطر المهرّب تصل المحارف نفسها على شكل <b> فيرسمها المتصفح نصًا. انتقل إلى تبويب Output لترى الكيانات التي طبعتها PHP فعلًا.

ما الذي تحوّله htmlspecialchars

خمسة محارف، لا شيء غيرها. وتمر الحروف والعلامات والرموز التعبيرية دون تغيير.

<?php
$samples = ['<', '>', '&', '"', "'", 'café ☕', "Tom & Jerry's", '5 < 6 && 7 > 2'];

foreach ($samples as $s) {
    echo mb_str_pad($s, 16), ' => ', htmlspecialchars($s), "\n";
}

& في القائمة لأنها تبدأ كل كيان: لو تُركت كما هي، لعُرض تعليق يذكر < على شكل <.

هرّب الخصائص، لا النص وحده

مُدخلات المستخدم داخل خاصية تحتاج إلى التهريب بالقدر نفسه. ودونه، تغلق علامة تنصيص في القيمة الخاصية ويصبح بقية المُدخل خصائص جديدة. هنا يتسلل «الاسم» بخاصية style؛ شغّله وانظر إلى المربعين.

<?php
$name = 'Ada" style="background:#c62828;color:#fff';
?>
<p>Unsafe: <input size="45" value="<?= $name ?>"></p>
<p>Safe: <input size="45" value="<?= htmlspecialchars($name) ?>"></p>

في المربع غير الآمن يرى المتصفح value="Ada" متبوعة بخاصية style جديدة، فيصبح المربع أحمر ولا يعرض إلا Ada. وسيكتب المهاجم onfocus="..." هناك بدل style، فتعمل شيفرته. وفي المربع الآمن صار كل " على شكل "، فيبقى النص كله داخل value ويُعرض كما كُتب.

منذ PHP 8.1 صارت الأعلام الافتراضية ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401، فتُهرَّب علامات التنصيص المفردة أيضًا وتكون الخصائص المكتوبة بـ '...' آمنة. وكثيرًا ما تمرر الشيفرات الأقدم ENT_QUOTES يدويًا، وكان ذلك لازمًا في PHP 7 وما قبلها:

<?php
$s = "It's <ok>";

echo htmlspecialchars($s), "\n";                // PHP 8.1+ default: ENT_QUOTES
echo htmlspecialchars($s, ENT_COMPAT), "\n";    // the old default: ' left alone
echo htmlspecialchars($s, ENT_NOQUOTES), "\n";  // no quotes escaped at all

دالة مساعدة قصيرة للقوالب

كتابة htmlspecialchars($x, ENT_QUOTES, 'UTF-8') عشرات المرات في قالب مزعجة، لذا تغلّفها معظم المشاريع في دالة من حرف واحد. وتفعل محركات القوالب مثل Twig وBlade الشيء نفسه تلقائيًا لكل {{ $var }}.

<?php
function e(?string $value): string
{
    return htmlspecialchars($value ?? '', ENT_QUOTES, 'UTF-8');
}

$users = [
    ['name' => 'Ada <admin>', 'bio' => 'Writes "notes" & programs'],
    ['name' => "O'Brien", 'bio' => null],
];
?>
<ul>
<?php foreach ($users as $u): ?>
  <li title="<?= e($u['bio']) ?>"><strong><?= e($u['name']) ?></strong>: <?= e($u['bio'] ?? 'no bio') ?></li>
<?php endforeach; ?>
</ul>

للنوع ?string ولـ ?? '' أهمية: تمرير null إلى htmlspecialchars() مهمل منذ PHP 8.1، وستطبع PHP لديك إشعار إهمال لكل مستخدم ليست لديه نبذة.

الترميز المزدوج وhtmlspecialchars_decode

إذا هُرّبت قيمة مرتين، يرى القارئ الكيانات: تصبح & في المرة الأولى & وفي الثانية &، فيعرضها المتصفح على شكل &. وغالبًا ما يعني ذلك أن القيمة هُرّبت عند حفظها ومرة أخرى عند طباعتها. مرّر double_encode: false لترك الكيانات الموجودة كما هي، واستخدم htmlspecialchars_decode() للعودة.

<?php
$once = htmlspecialchars('Fish & Chips "special"');
echo $once, "\n";

echo htmlspecialchars($once), "\n";                        // escaped twice
echo htmlspecialchars($once, double_encode: false), "\n";  // existing entities kept
echo htmlspecialchars_decode($once), "\n";                 // back to the original

الحل الحقيقي أن تخزّن النص الخام ولا تهرّب إلا عند الإخراج. وdouble_encode: false للنص الذي يحتوي أصلًا كيانات لم تنشئها أنت، مثل خلاصة مستوردة.

htmlspecialchars مقابل htmlentities مقابل strip_tags

كثيرًا ما يُخلط بين هذه الثلاث. تشغّلها الكتلة كلها على المُدخل نفسه وتعرض، لكل منها، ما تطبعه PHP وما يفعله المتصفح به:

<?php
$input = '<b onclick="steal()">Café</b> & <u>notes</u>';

$results = [
    'htmlspecialchars' => htmlspecialchars($input),
    'htmlentities' => htmlentities($input),
    'strip_tags' => strip_tags($input),
    "strip_tags with '<b>' allowed" => strip_tags($input, '<b>'),
];
?>
<table border="1" cellpadding="6">
  <tr><th>Function</th><th>PHP prints</th><th>Browser shows</th></tr>
<?php foreach ($results as $fn => $out): ?>
  <tr><td><?= htmlspecialchars($fn) ?></td><td><code><?= htmlspecialchars($out) ?></code></td><td><?= $out ?></td></tr>
<?php endforeach; ?>
</table>

• تهرّب htmlspecialchars() محارف HTML الخمسة. استخدمها لأي نص تطبعه في HTML.
• تحوّل htmlentities() أيضًا é إلى é. كانت مفيدة حين لم تكن الصفحات UTF-8؛ واليوم لا تفعل إلا جعل المصدر أصعب قراءة.
• تحذف strip_tags() الوسوم وتُبقي نصها. وهي لتحويل HTML إلى نص عادي (معاينة بريد، أو وصف meta)، لا للأمان: يبيّن الصف الأخير أن <b> المسموح يُبقي onclick الخاص به، والنص الموضوع داخل خاصية لا يُمس أصلًا.

حيث لا تكفي htmlspecialchars

htmlspecialchars() هي التهريب الصحيح لنص HTML وللخصائص بين علامات تنصيص. ولأماكن أخرى في الصفحة قواعد أخرى:

<?php
$search = 'rock & roll "live"';
$user = ['name' => "</script><b>Ada</b>", 'id' => 7];

// Inside a URL: encode the value, then escape the whole URL for the attribute
$href = '?' . http_build_query(['q' => $search]);
echo '<p><a href="' . htmlspecialchars($href) . '">Search</a></p>', "\n";

// Inside <script>: json_encode with the HEX flags, never htmlspecialchars
$json = json_encode($user, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
echo "<script>const user = $json;</script>\n";
echo '<p>Script data: <code>' . htmlspecialchars($json) . '</code></p>', "\n";

• في الرابط، ترمّز http_build_query() أو urlencode() القيمة؛ ثم تجعل htmlspecialchars() علامة & بين المعاملات HTML صالحًا.
• في JavaScript، تنتج json_encode() قيمة JS صالحة، ويحوّل JSON_HEX_TAG المحرفين < و> إلى \u003C و\u003E، فلا يستطيع </script> في البيانات إغلاق وسم السكربت.
• لا تطبع أبدًا مُدخلات المستخدم في href دون فحص البروتوكول: تبقى htmlspecialchars('javascript:alert(1)') دون تغيير وتعمل عند النقر. لا تقبل إلا روابط http وhttps، كما تبيّن صفحة filter_var.

لمعالجة النماذج التي تجمع كل هذا معًا، راجع النماذج في PHP.