PHP htmlspecialchars() : échapper le HTML et éviter le XSS

htmlspecialchars($text) convertit &, <, >, " et ' en &, <, >, " et '. Appelez-la sur chaque morceau de saisie utilisateur que vous affichez dans une page, et la saisie s'affiche en texte au lieu d'être lue comme du HTML.

Le bloc affiche deux fois le même commentaire, une fois brut et une fois échappé. Exécutez-le et comparez les deux lignes dans l'onglet Page, puis tapez votre propre HTML dans le formulaire, par exemple <h1>big</h1> ou <img src=x>, et cliquez sur Show.

<?php
$comment = $_POST['comment'] ?? '<b>Great</b> post, <i>thanks</i> & "see you"';
?>
<form method="post">
  <input name="comment" size="40" value="<?= htmlspecialchars($comment) ?>">
  <button>Show</button>
</form>
<p>Raw: <?= $comment ?></p>
<p>Escaped: <?= htmlspecialchars($comment) ?></p>

Sur la ligne brute, le navigateur obéit aux balises : le mot en gras est en gras, et un visiteur qui tape <script> fait exécuter son script dans le navigateur de chaque autre lecteur. Cette attaque s'appelle le cross-site scripting (XSS). Sur la ligne échappée, les mêmes caractères arrivent sous la forme <b> et le navigateur les dessine comme du texte. Passez à l'onglet Output pour voir les entités que PHP a réellement affichées.

Ce que convertit htmlspecialchars

Cinq caractères, rien d'autre. Les lettres, les accents et les emoji passent sans changement.

<?php
$samples = ['<', '>', '&', '"', "'", 'café ☕', "Tom & Jerry's", '5 < 6 && 7 > 2'];

foreach ($samples as $s) {
    echo mb_str_pad($s, 16), ' => ', htmlspecialchars($s), "\n";
}

& fait partie de la liste car il commence chaque entité : s'il restait tel quel, un commentaire qui mentionne < s'afficherait comme <.

Échapper les attributs, pas seulement le texte

Une saisie utilisateur dans un attribut a tout autant besoin d'être échappée. Sans cela, un guillemet dans la valeur ferme l'attribut et le reste de la saisie devient de nouveaux attributs. Ici, le « nom » glisse un attribut style ; exécutez-le et regardez les deux champs.

<?php
$name = 'Ada" style="background:#c62828;color:#fff';
?>
<p>Unsafe: <input size="45" value="<?= $name ?>"></p>
<p>Safe: <input size="45" value="<?= htmlspecialchars($name) ?>"></p>

Dans le champ non sûr, le navigateur voit value="Ada" suivi d'un nouvel attribut style, donc le champ devient rouge et n'affiche que Ada. Un attaquant écrirait onfocus="..." à la place de style, et son code s'exécuterait. Dans le champ sûr, chaque " est devenu ", donc toute la chaîne reste dans value et s'affiche telle que tapée.

Depuis PHP 8.1, les options par défaut sont ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401, donc les apostrophes sont aussi échappées et les attributs écrits avec '...' sont sûrs. Le code plus ancien passe souvent ENT_QUOTES à la main, et en PHP 7 et avant c'était obligatoire :

<?php
$s = "It's <ok>";

echo htmlspecialchars($s), "\n";                // PHP 8.1+ default: ENT_QUOTES
echo htmlspecialchars($s, ENT_COMPAT), "\n";    // the old default: ' left alone
echo htmlspecialchars($s, ENT_NOQUOTES), "\n";  // no quotes escaped at all

Une petite fonction pour les templates

Écrire htmlspecialchars($x, ENT_QUOTES, 'UTF-8') des dizaines de fois dans un template alourdit le code, c'est pourquoi la plupart des projets l'entourent d'une fonction d'une lettre. Les moteurs de templates comme Twig et Blade font la même chose automatiquement pour chaque {{ $var }}.

<?php
function e(?string $value): string
{
    return htmlspecialchars($value ?? '', ENT_QUOTES, 'UTF-8');
}

$users = [
    ['name' => 'Ada <admin>', 'bio' => 'Writes "notes" & programs'],
    ['name' => "O'Brien", 'bio' => null],
];
?>
<ul>
<?php foreach ($users as $u): ?>
  <li title="<?= e($u['bio']) ?>"><strong><?= e($u['name']) ?></strong>: <?= e($u['bio'] ?? 'no bio') ?></li>
<?php endforeach; ?>
</ul>

Le type ?string et le ?? '' comptent : passer null à htmlspecialchars() est déprécié depuis PHP 8.1, et votre PHP afficherait un avis de dépréciation pour chaque utilisateur sans biographie.

Double encodage et htmlspecialchars_decode

Si une valeur est échappée deux fois, le lecteur voit les entités : & devient & la première fois et & la seconde, que le navigateur affiche comme &. Cela signifie en général que la valeur a été échappée à l'enregistrement puis à nouveau à l'affichage. Passez double_encode: false pour laisser intactes les entités existantes, et utilisez htmlspecialchars_decode() pour revenir en arrière.

<?php
$once = htmlspecialchars('Fish & Chips "special"');
echo $once, "\n";

echo htmlspecialchars($once), "\n";                        // escaped twice
echo htmlspecialchars($once, double_encode: false), "\n";  // existing entities kept
echo htmlspecialchars_decode($once), "\n";                 // back to the original

La vraie solution est de stocker le texte brut et de n'échapper qu'à l'affichage. double_encode: false sert pour du texte qui contient déjà des entités que vous n'avez pas créées, comme un flux importé.

htmlspecialchars, htmlentities ou strip_tags

Ces trois fonctions sont souvent confondues. Le bloc les exécute toutes sur la même entrée et montre, pour chacune, ce qu'affiche PHP et ce qu'en fait le navigateur :

<?php
$input = '<b onclick="steal()">Café</b> & <u>notes</u>';

$results = [
    'htmlspecialchars' => htmlspecialchars($input),
    'htmlentities' => htmlentities($input),
    'strip_tags' => strip_tags($input),
    "strip_tags with '<b>' allowed" => strip_tags($input, '<b>'),
];
?>
<table border="1" cellpadding="6">
  <tr><th>Function</th><th>PHP prints</th><th>Browser shows</th></tr>
<?php foreach ($results as $fn => $out): ?>
  <tr><td><?= htmlspecialchars($fn) ?></td><td><code><?= htmlspecialchars($out) ?></code></td><td><?= $out ?></td></tr>
<?php endforeach; ?>
</table>

• htmlspecialchars() échappe les cinq caractères HTML. Utilisez-la pour tout texte que vous affichez dans du HTML.
• htmlentities() transforme aussi é en é. Elle était utile quand les pages n'étaient pas en UTF-8 ; aujourd'hui, elle rend seulement le code source plus difficile à lire.
• strip_tags() supprime les balises et garde leur texte. Elle sert à transformer du HTML en texte brut (un aperçu d'email, une meta description), pas à la sécurité : la dernière ligne montre qu'un <b> autorisé garde son onclick, et le texte placé dans un attribut n'est pas touché du tout.

Là où htmlspecialchars ne suffit pas

htmlspecialchars() est le bon échappement pour du texte HTML et des attributs entre guillemets. D'autres endroits d'une page ont d'autres règles :

<?php
$search = 'rock & roll "live"';
$user = ['name' => "</script><b>Ada</b>", 'id' => 7];

// Inside a URL: encode the value, then escape the whole URL for the attribute
$href = '?' . http_build_query(['q' => $search]);
echo '<p><a href="' . htmlspecialchars($href) . '">Search</a></p>', "\n";

// Inside <script>: json_encode with the HEX flags, never htmlspecialchars
$json = json_encode($user, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
echo "<script>const user = $json;</script>\n";
echo '<p>Script data: <code>' . htmlspecialchars($json) . '</code></p>', "\n";

• Dans une URL, http_build_query() ou urlencode() encode la valeur ; htmlspecialchars() rend ensuite valide en HTML le & entre les paramètres.
• En JavaScript, json_encode() produit une valeur JS valide, et JSON_HEX_TAG transforme < et > en \u003C et \u003E, si bien qu'un </script> dans les données ne peut pas fermer la balise script.
• N'affichez jamais une saisie utilisateur dans un href sans vérifier le schéma : htmlspecialchars('javascript:alert(1)') est inchangé et s'exécute toujours au clic. N'acceptez que des URL http et https, comme le montre la page filter_var.

Pour un traitement de formulaire qui réunit tout cela, voir les formulaires PHP.