PHP htmlspecialchars(): escapar HTML y prevenir XSS

htmlspecialchars($text) convierte &, <, >, " y ' en &, <, >, " y '. Llámala con cada dato de entrada del usuario que imprimas en una página, y la entrada se mostrará como texto en lugar de leerse como HTML.

El bloque imprime el mismo comentario dos veces, una sin modificar y otra escapada. Ejecútalo y compara las dos líneas en la pestaña Página; luego escribe tu propio HTML en el formulario, por ejemplo <h1>big</h1> o <img src=x>, y pulsa Show.

<?php
$comment = $_POST['comment'] ?? '<b>Great</b> post, <i>thanks</i> & "see you"';
?>
<form method="post">
  <input name="comment" size="40" value="<?= htmlspecialchars($comment) ?>">
  <button>Show</button>
</form>
<p>Raw: <?= $comment ?></p>
<p>Escaped: <?= htmlspecialchars($comment) ?></p>

En la línea sin modificar el navegador obedece a las etiquetas: la palabra en negrita sale en negrita, y un visitante que escriba <script> consigue que su script se ejecute en el navegador de todos los demás lectores. Ese ataque se llama cross-site scripting (XSS). En la línea escapada los mismos caracteres llegan como <b> y el navegador los dibuja como texto. Cambia a la pestaña Salida para ver las entidades que imprimió realmente PHP.

Qué convierte htmlspecialchars

Cinco caracteres y nada más. Las letras, las tildes y los emojis pasan sin cambios.

<?php
$samples = ['<', '>', '&', '"', "'", 'café ☕', "Tom & Jerry's", '5 < 6 && 7 > 2'];

foreach ($samples as $s) {
    echo mb_str_pad($s, 16), ' => ', htmlspecialchars($s), "\n";
}

& está en la lista porque es el comienzo de toda entidad: si se dejara tal cual, un comentario que menciona < se mostraría como <.

Escapar los atributos, no solo el texto

La entrada del usuario dentro de un atributo necesita escaparse igual. Sin escapar, unas comillas en el valor cierran el atributo y el resto de la entrada se convierte en atributos nuevos. Aquí el "nombre" cuela un atributo style; ejecútalo y mira las dos cajas.

<?php
$name = 'Ada" style="background:#c62828;color:#fff';
?>
<p>Unsafe: <input size="45" value="<?= $name ?>"></p>
<p>Safe: <input size="45" value="<?= htmlspecialchars($name) ?>"></p>

En la caja insegura el navegador ve value="Ada" seguido de un atributo style nuevo, así que la caja se vuelve roja y solo muestra Ada. Un atacante escribiría ahí onfocus="..." en lugar de style, y su código se ejecutaría. En la caja segura cada " se convirtió en ", así que toda la cadena se queda dentro de value y se muestra tal como se escribió.

Desde PHP 8.1 las opciones por defecto son ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401, así que las comillas simples también se escapan y los atributos escritos con '...' son seguros. El código antiguo suele pasar ENT_QUOTES a mano, y en PHP 7 y anteriores era obligatorio:

<?php
$s = "It's <ok>";

echo htmlspecialchars($s), "\n";                // PHP 8.1+ default: ENT_QUOTES
echo htmlspecialchars($s, ENT_COMPAT), "\n";    // the old default: ' left alone
echo htmlspecialchars($s, ENT_NOQUOTES), "\n";  // no quotes escaped at all

Una función auxiliar corta para las plantillas

Escribir htmlspecialchars($x, ENT_QUOTES, 'UTF-8') decenas de veces en una plantilla es ruidoso, así que la mayoría de los proyectos la envuelven en una función de una letra. Los motores de plantillas como Twig y Blade hacen lo mismo automáticamente con cada {{ $var }}.

<?php
function e(?string $value): string
{
    return htmlspecialchars($value ?? '', ENT_QUOTES, 'UTF-8');
}

$users = [
    ['name' => 'Ada <admin>', 'bio' => 'Writes "notes" & programs'],
    ['name' => "O'Brien", 'bio' => null],
];
?>
<ul>
<?php foreach ($users as $u): ?>
  <li title="<?= e($u['bio']) ?>"><strong><?= e($u['name']) ?></strong>: <?= e($u['bio'] ?? 'no bio') ?></li>
<?php endforeach; ?>
</ul>

El tipo ?string y el ?? '' importan: pasar null a htmlspecialchars() está obsoleto desde PHP 8.1, y tu PHP imprimiría un aviso de obsolescencia por cada usuario sin biografía.

Doble codificación y htmlspecialchars_decode

Si un valor se escapa dos veces, el lector ve las entidades: & se convierte en & la primera vez y en & la segunda, que el navegador muestra como &. Normalmente significa que el valor se escapó al guardarlo y otra vez al imprimirlo. Pasa double_encode: false para dejar intactas las entidades que ya existen, y usa htmlspecialchars_decode() para volver atrás.

<?php
$once = htmlspecialchars('Fish & Chips "special"');
echo $once, "\n";

echo htmlspecialchars($once), "\n";                        // escaped twice
echo htmlspecialchars($once, double_encode: false), "\n";  // existing entities kept
echo htmlspecialchars_decode($once), "\n";                 // back to the original

La solución real es guardar el texto sin modificar y escapar solo en la salida. double_encode: false es para texto que ya contiene entidades que no creaste tú, como un feed importado.

htmlspecialchars vs htmlentities vs strip_tags

Estas tres se confunden a menudo. El bloque las ejecuta todas con la misma entrada y muestra, para cada una, lo que imprime PHP y lo que hace con ello el navegador:

<?php
$input = '<b onclick="steal()">Café</b> & <u>notes</u>';

$results = [
    'htmlspecialchars' => htmlspecialchars($input),
    'htmlentities' => htmlentities($input),
    'strip_tags' => strip_tags($input),
    "strip_tags with '<b>' allowed" => strip_tags($input, '<b>'),
];
?>
<table border="1" cellpadding="6">
  <tr><th>Function</th><th>PHP prints</th><th>Browser shows</th></tr>
<?php foreach ($results as $fn => $out): ?>
  <tr><td><?= htmlspecialchars($fn) ?></td><td><code><?= htmlspecialchars($out) ?></code></td><td><?= $out ?></td></tr>
<?php endforeach; ?>
</table>

• htmlspecialchars() escapa los cinco caracteres de HTML. Úsala con cualquier texto que imprimas en HTML.
• htmlentities() convierte además é en é. Era útil cuando las páginas no eran UTF-8; hoy solo hace más difícil de leer el código fuente.
• strip_tags() borra las etiquetas y conserva su texto. Sirve para convertir HTML en texto plano (una vista previa de un email, una meta descripción), no para la seguridad: la última fila muestra que un <b> permitido conserva su onclick, y el texto colocado dentro de un atributo no se toca en absoluto.

Dónde no basta htmlspecialchars

htmlspecialchars() es el escapado adecuado para el texto HTML y los atributos entre comillas. Otros lugares de una página tienen otras reglas:

<?php
$search = 'rock & roll "live"';
$user = ['name' => "</script><b>Ada</b>", 'id' => 7];

// Inside a URL: encode the value, then escape the whole URL for the attribute
$href = '?' . http_build_query(['q' => $search]);
echo '<p><a href="' . htmlspecialchars($href) . '">Search</a></p>', "\n";

// Inside <script>: json_encode with the HEX flags, never htmlspecialchars
$json = json_encode($user, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
echo "<script>const user = $json;</script>\n";
echo '<p>Script data: <code>' . htmlspecialchars($json) . '</code></p>', "\n";

• En una URL, http_build_query() o urlencode() codifican el valor; luego htmlspecialchars() hace que el & entre parámetros sea HTML válido.
• En JavaScript, json_encode() produce un valor JS válido, y JSON_HEX_TAG convierte < y > en \u003C y \u003E, para que un </script> en los datos no pueda cerrar la etiqueta script.
• Nunca imprimas entrada del usuario en un href sin comprobar el esquema: htmlspecialchars('javascript:alert(1)') no cambia y sigue ejecutándose al hacer clic. Acepta solo URLs http y https, como se muestra en la página de filter_var.

Para el manejo de formularios que reúne todo esto, consulta los formularios en PHP.