PHP htmlspecialchars(): HTML escapen und XSS verhindern

htmlspecialchars($text) wandelt &, <, >, " und ' in &, <, >, " und ' um. Ruf es für jedes Stück Nutzereingabe auf, das du in eine Seite ausgibst, dann wird die Eingabe als Text angezeigt, statt als HTML gelesen zu werden.

Der Block gibt denselben Kommentar zweimal aus, einmal roh und einmal escapt. Führe ihn aus und vergleiche die beiden Zeilen im Tab Page, tippe dann eigenes HTML ins Formular, zum Beispiel <h1>big</h1> oder <img src=x>, und klicke auf Show.

<?php
$comment = $_POST['comment'] ?? '<b>Great</b> post, <i>thanks</i> & "see you"';
?>
<form method="post">
  <input name="comment" size="40" value="<?= htmlspecialchars($comment) ?>">
  <button>Show</button>
</form>
<p>Raw: <?= $comment ?></p>
<p>Escaped: <?= htmlspecialchars($comment) ?></p>

In der rohen Zeile befolgt der Browser die Tags: Das fette Wort ist fett, und ein Besucher, der <script> tippt, lässt sein Skript im Browser jedes anderen Lesers laufen. Dieser Angriff heißt Cross-Site Scripting (XSS). In der escapten Zeile kommen dieselben Zeichen als <b> an, und der Browser zeichnet sie als Text. Wechsle zum Tab Output, um die Entities zu sehen, die PHP tatsächlich ausgegeben hat.

Was htmlspecialchars umwandelt

Fünf Zeichen, sonst nichts. Buchstaben, Akzente und Emoji bleiben unverändert.

<?php
$samples = ['<', '>', '&', '"', "'", 'café ☕', "Tom & Jerry's", '5 < 6 && 7 > 2'];

foreach ($samples as $s) {
    echo mb_str_pad($s, 16), ' => ', htmlspecialchars($s), "\n";
}

& steht auf der Liste, weil damit jede Entity beginnt: Bliebe es unverändert, würde ein Kommentar, der < erwähnt, als < angezeigt.

Attribute escapen, nicht nur Text

Nutzereingaben in einem Attribut brauchen genauso Escaping. Ohne schließt ein Anführungszeichen im Wert das Attribut, und der Rest der Eingabe wird zu neuen Attributen. Hier schmuggelt der „Name“ ein Attribut style hinein; führe es aus und schau dir die beiden Felder an.

<?php
$name = 'Ada" style="background:#c62828;color:#fff';
?>
<p>Unsafe: <input size="45" value="<?= $name ?>"></p>
<p>Safe: <input size="45" value="<?= htmlspecialchars($name) ?>"></p>

Im unsicheren Feld sieht der Browser value="Ada", gefolgt von einem neuen Attribut style, also wird das Feld rot und zeigt nur Ada. Ein Angreifer würde dort onfocus="..." statt style schreiben, und sein Code würde laufen. Im sicheren Feld wurde jedes " zu ", also bleibt der ganze String in value und wird so angezeigt, wie er getippt wurde.

Seit PHP 8.1 sind die Standard-Flags ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401, also werden auch einfache Anführungszeichen escapt, und Attribute mit '...' sind sicher. Älterer Code übergibt ENT_QUOTES oft von Hand, und unter PHP 7 und älter war das nötig:

<?php
$s = "It's <ok>";

echo htmlspecialchars($s), "\n";                // PHP 8.1+ default: ENT_QUOTES
echo htmlspecialchars($s, ENT_COMPAT), "\n";    // the old default: ' left alone
echo htmlspecialchars($s, ENT_NOQUOTES), "\n";  // no quotes escaped at all

Ein kurzer Helfer für Templates

htmlspecialchars($x, ENT_QUOTES, 'UTF-8') dutzende Male in einem Template zu schreiben ist unübersichtlich, also packen die meisten Projekte es in eine Funktion mit einem Buchstaben. Template-Engines wie Twig und Blade machen dasselbe automatisch für jedes {{ $var }}.

<?php
function e(?string $value): string
{
    return htmlspecialchars($value ?? '', ENT_QUOTES, 'UTF-8');
}

$users = [
    ['name' => 'Ada <admin>', 'bio' => 'Writes "notes" & programs'],
    ['name' => "O'Brien", 'bio' => null],
];
?>
<ul>
<?php foreach ($users as $u): ?>
  <li title="<?= e($u['bio']) ?>"><strong><?= e($u['name']) ?></strong>: <?= e($u['bio'] ?? 'no bio') ?></li>
<?php endforeach; ?>
</ul>

Der Typ ?string und ?? '' sind wichtig: null an htmlspecialchars() zu übergeben ist seit PHP 8.1 veraltet, und dein eigenes PHP würde für jeden Nutzer ohne Bio einen Deprecation-Hinweis ausgeben.

Doppeltes Kodieren und htmlspecialchars_decode

Wird ein Wert zweimal escapt, sieht der Leser die Entities: & wird beim ersten Mal zu & und beim zweiten zu &, was der Browser als & anzeigt. Meist heißt das, dass der Wert beim Speichern und noch einmal bei der Ausgabe escapt wurde. Übergib double_encode: false, um vorhandene Entities in Ruhe zu lassen, und verwende htmlspecialchars_decode(), um zurückzugehen.

<?php
$once = htmlspecialchars('Fish & Chips "special"');
echo $once, "\n";

echo htmlspecialchars($once), "\n";                        // escaped twice
echo htmlspecialchars($once, double_encode: false), "\n";  // existing entities kept
echo htmlspecialchars_decode($once), "\n";                 // back to the original

Die echte Lösung ist, Rohtext zu speichern und nur bei der Ausgabe zu escapen. double_encode: false ist für Text, der bereits Entities enthält, die du nicht erzeugt hast, etwa einen importierten Feed.

htmlspecialchars vs htmlentities vs strip_tags

Diese drei werden oft verwechselt. Der Block wendet alle drei auf dieselbe Eingabe an und zeigt jeweils, was PHP ausgibt und was der Browser daraus macht:

<?php
$input = '<b onclick="steal()">Café</b> & <u>notes</u>';

$results = [
    'htmlspecialchars' => htmlspecialchars($input),
    'htmlentities' => htmlentities($input),
    'strip_tags' => strip_tags($input),
    "strip_tags with '<b>' allowed" => strip_tags($input, '<b>'),
];
?>
<table border="1" cellpadding="6">
  <tr><th>Function</th><th>PHP prints</th><th>Browser shows</th></tr>
<?php foreach ($results as $fn => $out): ?>
  <tr><td><?= htmlspecialchars($fn) ?></td><td><code><?= htmlspecialchars($out) ?></code></td><td><?= $out ?></td></tr>
<?php endforeach; ?>
</table>

• htmlspecialchars() escapt die fünf HTML-Zeichen. Verwende es für jeden Text, den du in HTML ausgibst.
• htmlentities() macht außerdem aus é ein é. Das war nützlich, als Seiten nicht UTF-8 waren; heute macht es den Quelltext nur schwerer lesbar.
• strip_tags() löscht Tags und behält ihren Text. Es ist dafür da, aus HTML reinen Text zu machen (eine E-Mail-Vorschau, eine Meta-Beschreibung), nicht für Sicherheit: Die letzte Zeile zeigt, dass ein erlaubtes <b> sein onclick behält, und Text in einem Attribut wird gar nicht angerührt.

Wo htmlspecialchars nicht reicht

htmlspecialchars() ist das richtige Escaping für HTML-Text und Attribute in Anführungszeichen. Andere Stellen einer Seite haben andere Regeln:

<?php
$search = 'rock & roll "live"';
$user = ['name' => "</script><b>Ada</b>", 'id' => 7];

// Inside a URL: encode the value, then escape the whole URL for the attribute
$href = '?' . http_build_query(['q' => $search]);
echo '<p><a href="' . htmlspecialchars($href) . '">Search</a></p>', "\n";

// Inside <script>: json_encode with the HEX flags, never htmlspecialchars
$json = json_encode($user, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
echo "<script>const user = $json;</script>\n";
echo '<p>Script data: <code>' . htmlspecialchars($json) . '</code></p>', "\n";

• In einer URL kodiert http_build_query() oder urlencode() den Wert; htmlspecialchars() macht dann das & zwischen den Parametern zu gültigem HTML.
• In JavaScript erzeugt json_encode() einen gültigen JS-Wert, und JSON_HEX_TAG macht aus < und > die Escapes \u003C und \u003E, damit ein </script> in den Daten das Script-Tag nicht schließen kann.
• Gib Nutzereingaben nie in ein href aus, ohne das Schema zu prüfen: htmlspecialchars('javascript:alert(1)') bleibt unverändert und läuft beim Klicken trotzdem. Akzeptiere nur URLs mit http und https, wie auf der Seite zu filter_var gezeigt.

Für die Verarbeitung von Formularen, die all das zusammenbringt, siehe PHP-Formulare.