htmlspecialchars() ב-PHP: escape ל-HTML ומניעת XSS

htmlspecialchars($text) ממירה את &, <, >, " ו-' ל-&, <, >, " ו-'. קראו לה על כל פיסת קלט משתמש שאתם מדפיסים לתוך דף, והקלט יוצג כטקסט במקום להיקרא כ-HTML.

הבלוק מדפיס את אותה תגובה פעמיים, פעם גולמית ופעם אחרי escape. הריצו אותו והשוו את שתי השורות בלשונית Page, ואז הקלידו HTML משלכם בטופס, למשל <h1>big</h1> או <img src=x>, ולחצו על Show.

<?php
$comment = $_POST['comment'] ?? '<b>Great</b> post, <i>thanks</i> & "see you"';
?>
<form method="post">
  <input name="comment" size="40" value="<?= htmlspecialchars($comment) ?>">
  <button>Show</button>
</form>
<p>Raw: <?= $comment ?></p>
<p>Escaped: <?= htmlspecialchars($comment) ?></p>

בשורה הגולמית הדפדפן מציית לתגיות: המילה המודגשת מודגשת, ומבקר שמקליד <script> גורם לסקריפט שלו לרוץ בדפדפן של כל קורא אחר. המתקפה הזו נקראת cross-site scripting (XSS). בשורה שעברה escape אותם תווים מגיעים כ-<b> והדפדפן מצייר אותם כטקסט. עברו ללשונית Output כדי לראות את הישויות ש-PHP הדפיסה בפועל.

מה htmlspecialchars ממירה

חמישה תווים, שום דבר אחר. אותיות, סימנים דיאקריטיים ואימוג'י עוברים בלי שינוי.

<?php
$samples = ['<', '>', '&', '"', "'", 'café ☕', "Tom & Jerry's", '5 < 6 && 7 > 2'];

foreach ($samples as $s) {
    echo mb_str_pad($s, 16), ' => ', htmlspecialchars($s), "\n";
}

& נמצא ברשימה כי הוא מתחיל כל ישות: אם הוא היה נשאר כמו שהוא, תגובה שמזכירה < הייתה מוצגת כ-<.

escape למאפיינים, לא רק לטקסט

קלט משתמש בתוך מאפיין צריך escape באותה מידה. בלעדיו, מירכאה בערך סוגרת את המאפיין ושאר הקלט הופך למאפיינים חדשים. כאן ה"שם" מגניב פנימה מאפיין style; הריצו והסתכלו על שתי התיבות.

<?php
$name = 'Ada" style="background:#c62828;color:#fff';
?>
<p>Unsafe: <input size="45" value="<?= $name ?>"></p>
<p>Safe: <input size="45" value="<?= htmlspecialchars($name) ?>"></p>

בתיבה הלא בטוחה הדפדפן רואה value="Ada" ואחריו מאפיין style חדש, ולכן התיבה הופכת לאדומה ומציגה רק Ada. תוקף היה כותב שם onfocus="..." במקום style, והקוד שלו היה רץ. בתיבה הבטוחה כל " הפכה ל-", ולכן כל המחרוזת נשארת בתוך value ומוצגת כפי שהוקלדה.

מאז PHP 8.1 הדגלים של ברירת המחדל הם ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401, ולכן גם גרשיים בודדים עוברים escape ומאפיינים שנכתבו עם '...' בטוחים. קוד ישן מעביר לעיתים קרובות ENT_QUOTES ידנית, וב-PHP 7 ומטה זה היה הכרחי:

<?php
$s = "It's <ok>";

echo htmlspecialchars($s), "\n";                // PHP 8.1+ default: ENT_QUOTES
echo htmlspecialchars($s, ENT_COMPAT), "\n";    // the old default: ' left alone
echo htmlspecialchars($s, ENT_NOQUOTES), "\n";  // no quotes escaped at all

פונקציית עזר קצרה לתבניות

כתיבה של htmlspecialchars($x, ENT_QUOTES, 'UTF-8') עשרות פעמים בתבנית רועשת, ולכן רוב הפרויקטים עוטפים אותה בפונקציה בת אות אחת. מנועי תבניות כמו Twig ו-Blade עושים את אותו הדבר אוטומטית לכל {{ $var }}.

<?php
function e(?string $value): string
{
    return htmlspecialchars($value ?? '', ENT_QUOTES, 'UTF-8');
}

$users = [
    ['name' => 'Ada <admin>', 'bio' => 'Writes "notes" & programs'],
    ['name' => "O'Brien", 'bio' => null],
];
?>
<ul>
<?php foreach ($users as $u): ?>
  <li title="<?= e($u['bio']) ?>"><strong><?= e($u['name']) ?></strong>: <?= e($u['bio'] ?? 'no bio') ?></li>
<?php endforeach; ?>
</ul>

הטיפוס ?string וה-?? '' חשובים: העברה של null ל-htmlspecialchars() הוצאה משימוש מאז PHP 8.1, וה-PHP שלכם הייתה מדפיסה הודעת deprecation לכל משתמש בלי bio.

קידוד כפול ו-htmlspecialchars_decode

אם ערך עובר escape פעמיים, הקורא רואה את הישויות: & הופך ל-& בפעם הראשונה ול-& בשנייה, שהדפדפן מציג כ-&. זה אומר בדרך כלל שהערך עבר escape כשנשמר ושוב כשהודפס. העבירו double_encode: false כדי להשאיר ישויות קיימות כמו שהן, והשתמשו ב-htmlspecialchars_decode() כדי לחזור אחורה.

<?php
$once = htmlspecialchars('Fish & Chips "special"');
echo $once, "\n";

echo htmlspecialchars($once), "\n";                        // escaped twice
echo htmlspecialchars($once, double_encode: false), "\n";  // existing entities kept
echo htmlspecialchars_decode($once), "\n";                 // back to the original

התיקון האמיתי הוא לשמור טקסט גולמי ולבצע escape רק בפלט. double_encode: false מיועד לטקסט שכבר מכיל ישויות שלא אתם יצרתם, כמו פיד שיובא.

htmlspecialchars מול htmlentities מול strip_tags

שלוש הפונקציות האלה מתבלבלות לעיתים קרובות. הבלוק מריץ את כולן על אותו קלט ומראה, לכל אחת, מה PHP מדפיסה ומה הדפדפן עושה מזה:

<?php
$input = '<b onclick="steal()">Café</b> & <u>notes</u>';

$results = [
    'htmlspecialchars' => htmlspecialchars($input),
    'htmlentities' => htmlentities($input),
    'strip_tags' => strip_tags($input),
    "strip_tags with '<b>' allowed" => strip_tags($input, '<b>'),
];
?>
<table border="1" cellpadding="6">
  <tr><th>Function</th><th>PHP prints</th><th>Browser shows</th></tr>
<?php foreach ($results as $fn => $out): ?>
  <tr><td><?= htmlspecialchars($fn) ?></td><td><code><?= htmlspecialchars($out) ?></code></td><td><?= $out ?></td></tr>
<?php endforeach; ?>
</table>

• htmlspecialchars() מבצעת escape לחמשת תווי ה-HTML. השתמשו בה לכל טקסט שאתם מדפיסים לתוך HTML.
• htmlentities() הופכת גם את é ל-é. היא הייתה שימושית כשדפים לא היו ב-UTF-8; היום היא רק הופכת את קוד המקור לקשה יותר לקריאה.
• strip_tags() מוחקת תגיות ושומרת על הטקסט שלהן. היא נועדה להפוך HTML לטקסט פשוט (תצוגה מקדימה של אימייל, meta description), לא לאבטחה: השורה האחרונה מראה ש-<b> מותר שומר על ה-onclick שלו, וטקסט שמוצב בתוך מאפיין לא נוגעים בו בכלל.

איפה htmlspecialchars לא מספיקה

htmlspecialchars() היא ה-escape הנכון לטקסט HTML ולמאפיינים במירכאות. למקומות אחרים בדף יש כללים אחרים:

<?php
$search = 'rock & roll "live"';
$user = ['name' => "</script><b>Ada</b>", 'id' => 7];

// Inside a URL: encode the value, then escape the whole URL for the attribute
$href = '?' . http_build_query(['q' => $search]);
echo '<p><a href="' . htmlspecialchars($href) . '">Search</a></p>', "\n";

// Inside <script>: json_encode with the HEX flags, never htmlspecialchars
$json = json_encode($user, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
echo "<script>const user = $json;</script>\n";
echo '<p>Script data: <code>' . htmlspecialchars($json) . '</code></p>', "\n";

• בכתובת URL, http_build_query() או urlencode() מקודדות את הערך; htmlspecialchars() הופכת אז את ה-& שבין הפרמטרים ל-HTML תקין.
• ב-JavaScript, json_encode() מפיקה ערך JS תקין, ו-JSON_HEX_TAG הופך את < ואת > ל-\u003C ול-\u003E, כך ש-</script> בתוך הנתונים לא יכול לסגור את תגית הסקריפט.
• לעולם אל תדפיסו קלט משתמש לתוך href בלי לבדוק את הסכמה: htmlspecialchars('javascript:alert(1)') לא משתנה ועדיין רץ כשלוחצים עליו. קבלו רק כתובות http ו-https, כמו שמוצג בעמוד filter_var.

לטיפול בטפסים שמחבר את כל זה יחד, ראו טפסים ב-PHP.