PHP htmlspecialchars(): escape dell'HTML e difesa da XSS

htmlspecialchars($text) converte &, <, >, " e ' in &, <, >, " e '. Chiamala su ogni pezzo di input dell'utente che stampi in una pagina, e l'input viene mostrato come testo invece di essere letto come HTML.

Il blocco stampa lo stesso commento due volte, una volta grezzo e una volta con l'escape. Eseguilo e confronta le due righe nella scheda Page, poi scrivi del tuo HTML nel form, per esempio <h1>big</h1> o <img src=x>, e premi Show.

<?php
$comment = $_POST['comment'] ?? '<b>Great</b> post, <i>thanks</i> & "see you"';
?>
<form method="post">
  <input name="comment" size="40" value="<?= htmlspecialchars($comment) ?>">
  <button>Show</button>
</form>
<p>Raw: <?= $comment ?></p>
<p>Escaped: <?= htmlspecialchars($comment) ?></p>

Nella riga grezza il browser obbedisce ai tag: la parola in grassetto è in grassetto, e un visitatore che scrive <script> fa eseguire il suo script nel browser di ogni altro lettore. Questo attacco si chiama cross-site scripting (XSS). Nella riga con l'escape gli stessi caratteri arrivano come <b> e il browser li disegna come testo. Passa alla scheda Output per vedere le entità che PHP ha davvero stampato.

Cosa converte htmlspecialchars

Cinque caratteri, nient'altro. Lettere, accenti ed emoji passano invariati.

<?php
$samples = ['<', '>', '&', '"', "'", 'café ☕', "Tom & Jerry's", '5 < 6 && 7 > 2'];

foreach ($samples as $s) {
    echo mb_str_pad($s, 16), ' => ', htmlspecialchars($s), "\n";
}

& è nell'elenco perché inizia ogni entità: se venisse lasciato com'è, un commento che cita < verrebbe mostrato come <.

Applicare l'escape agli attributi, non solo al testo

Anche l'input dell'utente dentro un attributo ha bisogno dell'escape. Senza, una virgoletta nel valore chiude l'attributo e il resto dell'input diventa nuovi attributi. Qui il "nome" introduce di nascosto un attributo style; eseguilo e guarda le due caselle.

<?php
$name = 'Ada" style="background:#c62828;color:#fff';
?>
<p>Unsafe: <input size="45" value="<?= $name ?>"></p>
<p>Safe: <input size="45" value="<?= htmlspecialchars($name) ?>"></p>

Nella casella non sicura il browser vede value="Ada" seguito da un nuovo attributo style, quindi la casella diventa rossa e mostra solo Ada. Un attaccante scriverebbe lì onfocus="..." invece di style, e il suo codice verrebbe eseguito. Nella casella sicura ogni " è diventato ", quindi l'intera stringa resta dentro value e viene mostrata come è stata scritta.

Da PHP 8.1 i flag di default sono ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401, quindi vengono convertiti anche gli apici singoli e gli attributi scritti con '...' sono sicuri. Il codice più vecchio passa spesso ENT_QUOTES a mano, e su PHP 7 e precedenti era necessario:

<?php
$s = "It's <ok>";

echo htmlspecialchars($s), "\n";                // PHP 8.1+ default: ENT_QUOTES
echo htmlspecialchars($s, ENT_COMPAT), "\n";    // the old default: ' left alone
echo htmlspecialchars($s, ENT_NOQUOTES), "\n";  // no quotes escaped at all

Una piccola funzione di supporto per i template

Scrivere htmlspecialchars($x, ENT_QUOTES, 'UTF-8') decine di volte in un template è pesante, quindi la maggior parte dei progetti lo racchiude in una funzione di una lettera. I motori di template come Twig e Blade fanno lo stesso automaticamente per ogni {{ $var }}.

<?php
function e(?string $value): string
{
    return htmlspecialchars($value ?? '', ENT_QUOTES, 'UTF-8');
}

$users = [
    ['name' => 'Ada <admin>', 'bio' => 'Writes "notes" & programs'],
    ['name' => "O'Brien", 'bio' => null],
];
?>
<ul>
<?php foreach ($users as $u): ?>
  <li title="<?= e($u['bio']) ?>"><strong><?= e($u['name']) ?></strong>: <?= e($u['bio'] ?? 'no bio') ?></li>
<?php endforeach; ?>
</ul>

Il tipo ?string e ?? '' contano: passare null a htmlspecialchars() è deprecato da PHP 8.1, e il tuo PHP stamperebbe un avviso di deprecazione per ogni utente senza biografia.

Doppia codifica e htmlspecialchars_decode

Se a un valore viene applicato l'escape due volte, chi legge vede le entità: & diventa & la prima volta e & la seconda, che il browser mostra come &. Di solito significa che l'escape è stato applicato al salvataggio e di nuovo alla stampa. Passa double_encode: false per lasciare intatte le entità esistenti, e usa htmlspecialchars_decode() per tornare indietro.

<?php
$once = htmlspecialchars('Fish & Chips "special"');
echo $once, "\n";

echo htmlspecialchars($once), "\n";                        // escaped twice
echo htmlspecialchars($once, double_encode: false), "\n";  // existing entities kept
echo htmlspecialchars_decode($once), "\n";                 // back to the original

La vera soluzione è salvare il testo grezzo e applicare l'escape solo in uscita. double_encode: false serve per i testi che contengono già entità che non hai creato tu, come un feed importato.

htmlspecialchars vs htmlentities vs strip_tags

Queste tre si confondono spesso. Il blocco le esegue tutte sullo stesso input e mostra, per ciascuna, cosa stampa PHP e cosa ne fa il browser:

<?php
$input = '<b onclick="steal()">Café</b> & <u>notes</u>';

$results = [
    'htmlspecialchars' => htmlspecialchars($input),
    'htmlentities' => htmlentities($input),
    'strip_tags' => strip_tags($input),
    "strip_tags with '<b>' allowed" => strip_tags($input, '<b>'),
];
?>
<table border="1" cellpadding="6">
  <tr><th>Function</th><th>PHP prints</th><th>Browser shows</th></tr>
<?php foreach ($results as $fn => $out): ?>
  <tr><td><?= htmlspecialchars($fn) ?></td><td><code><?= htmlspecialchars($out) ?></code></td><td><?= $out ?></td></tr>
<?php endforeach; ?>
</table>

• htmlspecialchars() applica l'escape ai cinque caratteri HTML. Usala per qualsiasi testo che stampi nell'HTML.
• htmlentities() trasforma anche é in é. Era utile quando le pagine non erano UTF-8; oggi rende solo il sorgente più difficile da leggere.
• strip_tags() elimina i tag e ne mantiene il testo. Serve a trasformare l'HTML in testo semplice (l'anteprima di un'email, una meta description), non alla sicurezza: l'ultima riga mostra che un <b> consentito mantiene il suo onclick, e il testo messo dentro un attributo non viene toccato affatto.

Dove htmlspecialchars non basta

htmlspecialchars() è l'escape giusto per il testo HTML e gli attributi tra virgolette. Altri punti di una pagina hanno altre regole:

<?php
$search = 'rock & roll "live"';
$user = ['name' => "</script><b>Ada</b>", 'id' => 7];

// Inside a URL: encode the value, then escape the whole URL for the attribute
$href = '?' . http_build_query(['q' => $search]);
echo '<p><a href="' . htmlspecialchars($href) . '">Search</a></p>', "\n";

// Inside <script>: json_encode with the HEX flags, never htmlspecialchars
$json = json_encode($user, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
echo "<script>const user = $json;</script>\n";
echo '<p>Script data: <code>' . htmlspecialchars($json) . '</code></p>', "\n";

• In un URL, http_build_query() o urlencode() codifica il valore; htmlspecialchars() rende poi valido nell'HTML il & tra i parametri.
• In JavaScript, json_encode() produce un valore JS valido, e JSON_HEX_TAG trasforma < e > in \u003C e \u003E, così un </script> nei dati non può chiudere il tag script.
• Non stampare mai l'input dell'utente in un href senza verificarne lo schema: htmlspecialchars('javascript:alert(1)') resta invariato e viene comunque eseguito al clic. Accetta solo URL http e https, come mostrato nella pagina su filter_var.

Per la gestione dei form che mette insieme tutto questo, vedi i form in PHP.