htmlspecialchars() PHP: Escape HTML dan Cegah XSS

htmlspecialchars($text) mengubah &, <, >, ", dan ' menjadi &, <, >, ", dan '. Panggil fungsi ini pada setiap input pengguna yang kamu cetak ke halaman, maka input itu ditampilkan sebagai teks alih-alih dibaca sebagai HTML.

Blok ini mencetak komentar yang sama dua kali, sekali mentah dan sekali sudah di-escape. Jalankan, bandingkan kedua barisnya di tab Halaman, lalu ketik HTML-mu sendiri ke form, misalnya <h1>big</h1> atau <img src=x>, dan tekan Show.

<?php
$comment = $_POST['comment'] ?? '<b>Great</b> post, <i>thanks</i> & "see you"';
?>
<form method="post">
  <input name="comment" size="40" value="<?= htmlspecialchars($comment) ?>">
  <button>Show</button>
</form>
<p>Raw: <?= $comment ?></p>
<p>Escaped: <?= htmlspecialchars($comment) ?></p>

Di baris mentah, browser menuruti tag-nya: kata yang tebal jadi tebal, dan pengunjung yang mengetik <script> membuat script-nya dijalankan di browser setiap pembaca lain. Serangan ini disebut cross-site scripting (XSS). Di baris yang sudah di-escape, karakter yang sama datang sebagai <b> dan browser menggambarnya sebagai teks. Pindah ke tab Output untuk melihat entity yang benar-benar dicetak PHP.

Apa saja yang diubah htmlspecialchars

Lima karakter, tidak lebih. Huruf, aksen, dan emoji lewat tanpa diubah.

<?php
$samples = ['<', '>', '&', '"', "'", 'café ☕', "Tom & Jerry's", '5 < 6 && 7 > 2'];

foreach ($samples as $s) {
    echo mb_str_pad($s, 16), ' => ', htmlspecialchars($s), "\n";
}

& ada di daftar itu karena karakter inilah yang mengawali setiap entity: jika dibiarkan, komentar yang menyebut < akan ditampilkan sebagai <.

Escape atribut, bukan hanya teks

Input pengguna di dalam atribut juga perlu di-escape. Tanpa escape, tanda kutip di dalam nilai menutup atributnya dan sisa input berubah menjadi atribut baru. Di sini "name" menyelipkan atribut style; jalankan dan lihat kedua kotaknya.

<?php
$name = 'Ada" style="background:#c62828;color:#fff';
?>
<p>Unsafe: <input size="45" value="<?= $name ?>"></p>
<p>Safe: <input size="45" value="<?= htmlspecialchars($name) ?>"></p>

Di kotak yang tidak aman, browser melihat value="Ada" diikuti atribut style baru, jadi kotaknya berubah merah dan hanya menampilkan Ada. Penyerang akan menulis onfocus="..." di situ alih-alih style, dan kodenya akan berjalan. Di kotak yang aman, setiap " menjadi ", jadi seluruh string tetap berada di dalam value dan ditampilkan seperti yang diketik.

Sejak PHP 8.1, flag default-nya adalah ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401, jadi tanda kutip tunggal juga di-escape dan atribut yang ditulis dengan '...' aman. Kode lama sering memberikan ENT_QUOTES secara manual, dan di PHP 7 ke bawah hal itu memang wajib:

<?php
$s = "It's <ok>";

echo htmlspecialchars($s), "\n";                // PHP 8.1+ default: ENT_QUOTES
echo htmlspecialchars($s, ENT_COMPAT), "\n";    // the old default: ' left alone
echo htmlspecialchars($s, ENT_NOQUOTES), "\n";  // no quotes escaped at all

Helper singkat untuk template

Menulis htmlspecialchars($x, ENT_QUOTES, 'UTF-8') puluhan kali di template terasa berisik, jadi sebagian besar proyek membungkusnya dalam fungsi berhuruf satu. Template engine seperti Twig dan Blade melakukan hal yang sama secara otomatis untuk setiap {{ $var }}.

<?php
function e(?string $value): string
{
    return htmlspecialchars($value ?? '', ENT_QUOTES, 'UTF-8');
}

$users = [
    ['name' => 'Ada <admin>', 'bio' => 'Writes "notes" & programs'],
    ['name' => "O'Brien", 'bio' => null],
];
?>
<ul>
<?php foreach ($users as $u): ?>
  <li title="<?= e($u['bio']) ?>"><strong><?= e($u['name']) ?></strong>: <?= e($u['bio'] ?? 'no bio') ?></li>
<?php endforeach; ?>
</ul>

Tipe ?string dan ?? '' itu penting: memberikan null ke htmlspecialchars() sudah deprecated sejak PHP 8.1, dan PHP-mu sendiri akan mencetak deprecation notice untuk setiap pengguna yang tidak punya bio.

Double encoding dan htmlspecialchars_decode

Jika sebuah nilai di-escape dua kali, pembaca melihat entity-nya: & menjadi & pada escape pertama dan & pada escape kedua, yang ditampilkan browser sebagai &. Biasanya ini berarti nilainya di-escape saat disimpan dan sekali lagi saat dicetak. Berikan double_encode: false agar entity yang sudah ada tidak diubah, dan pakai htmlspecialchars_decode() untuk mengembalikannya.

<?php
$once = htmlspecialchars('Fish & Chips "special"');
echo $once, "\n";

echo htmlspecialchars($once), "\n";                        // escaped twice
echo htmlspecialchars($once, double_encode: false), "\n";  // existing entities kept
echo htmlspecialchars_decode($once), "\n";                 // back to the original

Solusi sebenarnya adalah menyimpan teks mentah dan hanya melakukan escape saat output. double_encode: false ditujukan untuk teks yang sudah berisi entity yang tidak kamu buat, seperti feed yang diimpor.

htmlspecialchars vs htmlentities vs strip_tags

Ketiganya sering tertukar. Blok ini menjalankan semuanya pada input yang sama dan menunjukkan, untuk masing-masing, apa yang dicetak PHP dan bagaimana browser menampilkannya:

<?php
$input = '<b onclick="steal()">Café</b> & <u>notes</u>';

$results = [
    'htmlspecialchars' => htmlspecialchars($input),
    'htmlentities' => htmlentities($input),
    'strip_tags' => strip_tags($input),
    "strip_tags with '<b>' allowed" => strip_tags($input, '<b>'),
];
?>
<table border="1" cellpadding="6">
  <tr><th>Function</th><th>PHP prints</th><th>Browser shows</th></tr>
<?php foreach ($results as $fn => $out): ?>
  <tr><td><?= htmlspecialchars($fn) ?></td><td><code><?= htmlspecialchars($out) ?></code></td><td><?= $out ?></td></tr>
<?php endforeach; ?>
</table>

• htmlspecialchars() melakukan escape pada lima karakter HTML. Pakai untuk teks apa pun yang kamu cetak ke HTML.
• htmlentities() juga mengubah é menjadi é. Fungsi ini berguna saat halaman belum memakai UTF-8; sekarang ia hanya membuat source lebih sulit dibaca.
• strip_tags() menghapus tag dan mempertahankan teksnya. Fungsi ini untuk mengubah HTML menjadi teks biasa (pratinjau email, meta description), bukan untuk keamanan: baris terakhir menunjukkan bahwa <b> yang diizinkan tetap mempertahankan onclick-nya, dan teks yang ditaruh di dalam atribut sama sekali tidak disentuh.

Saat htmlspecialchars tidak cukup

htmlspecialchars() adalah escape yang tepat untuk teks HTML dan atribut yang diberi tanda kutip. Bagian lain di halaman punya aturan lain:

<?php
$search = 'rock & roll "live"';
$user = ['name' => "</script><b>Ada</b>", 'id' => 7];

// Inside a URL: encode the value, then escape the whole URL for the attribute
$href = '?' . http_build_query(['q' => $search]);
echo '<p><a href="' . htmlspecialchars($href) . '">Search</a></p>', "\n";

// Inside <script>: json_encode with the HEX flags, never htmlspecialchars
$json = json_encode($user, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
echo "<script>const user = $json;</script>\n";
echo '<p>Script data: <code>' . htmlspecialchars($json) . '</code></p>', "\n";

• Di dalam URL, http_build_query() atau urlencode() meng-encode nilainya; htmlspecialchars() lalu membuat & di antara parameter menjadi HTML yang valid.
• Di JavaScript, json_encode() menghasilkan nilai JS yang valid, dan JSON_HEX_TAG mengubah < dan > menjadi \u003C dan \u003E, sehingga </script> di dalam data tidak bisa menutup tag script.
• Jangan pernah mencetak input pengguna ke href tanpa memeriksa skemanya: htmlspecialchars('javascript:alert(1)') tidak berubah dan tetap berjalan saat diklik. Terima hanya URL http dan https, seperti yang ditunjukkan di halaman filter_var.

Untuk pemrosesan form yang menggabungkan semua ini, lihat form PHP.