PHPのhtmlspecialchars()：HTMLエスケープとXSS対策

htmlspecialchars($text)は、&、<、>、"、'を、&、<、>、"、'に変換します。ページに出力するユーザーの入力すべてにこれを呼べば、入力はHTMLとして読まれずにテキストとして表示されます。

このブロックは同じコメントを、そのままとエスケープしたものとで2回出力します。実行してPageタブの2行を比べてから、<h1>big</h1>や<img src=x>のように自分でHTMLをフォームに入力してShowを押してください。

<?php
$comment = $_POST['comment'] ?? '<b>Great</b> post, <i>thanks</i> & "see you"';
?>
<form method="post">
  <input name="comment" size="40" value="<?= htmlspecialchars($comment) ?>">
  <button>Show</button>
</form>
<p>Raw: <?= $comment ?></p>
<p>Escaped: <?= htmlspecialchars($comment) ?></p>

そのままの行では、ブラウザはタグに従います。太字の単語は太字になり、<script>と入力した訪問者は、ほかのすべての読者のブラウザで自分のスクリプトを実行させられます。この攻撃はクロスサイトスクリプティング（XSS）と呼ばれます。エスケープした行では、同じ文字が<b>として届き、ブラウザはそれをテキストとして描きます。Outputタブに切り替えると、PHPが実際に出力したエンティティが見えます。

htmlspecialcharsが変換するもの

5つの文字だけで、それ以外はありません。英字、アクセント付きの文字、絵文字はそのまま通ります。

<?php
$samples = ['<', '>', '&', '"', "'", 'café ☕', "Tom & Jerry's", '5 < 6 && 7 > 2'];

foreach ($samples as $s) {
    echo mb_str_pad($s, 16), ' => ', htmlspecialchars($s), "\n";
}

&が一覧に入っているのは、すべてのエンティティが&で始まるからです。そのままにすると、<に触れたコメントが<として表示されてしまいます。

テキストだけでなく属性もエスケープする

属性の中のユーザーの入力も、同じくエスケープが必要です。それがないと、値の中の引用符が属性を閉じ、入力の残りが新しい属性になってしまいます。ここでは「名前」がstyle属性を紛れ込ませています。実行して2つのボックスを見てください。

<?php
$name = 'Ada" style="background:#c62828;color:#fff';
?>
<p>Unsafe: <input size="45" value="<?= $name ?>"></p>
<p>Safe: <input size="45" value="<?= htmlspecialchars($name) ?>"></p>

安全でないボックスでは、ブラウザはvalue="Ada"のあとに新しいstyle属性を見るので、ボックスは赤くなりAdaだけを表示します。攻撃者ならそこにstyleではなくonfocus="..."と書き、自分のコードを実行させるでしょう。安全なボックスではすべての"が"になったので、文字列全体がvalueの中にとどまり、入力したとおりに表示されます。

PHP 8.1以降、デフォルトのフラグはENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401なので、シングルクォートもエスケープされ、'...'で書かれた属性も安全です。古いコードではENT_QUOTESを手で渡していることが多く、PHP 7以前ではそれが必要でした。

<?php
$s = "It's <ok>";

echo htmlspecialchars($s), "\n";                // PHP 8.1+ default: ENT_QUOTES
echo htmlspecialchars($s, ENT_COMPAT), "\n";    // the old default: ' left alone
echo htmlspecialchars($s, ENT_NOQUOTES), "\n";  // no quotes escaped at all

テンプレート用の短いヘルパー

テンプレートでhtmlspecialchars($x, ENT_QUOTES, 'UTF-8')を何十回も書くのは煩雑なので、ほとんどのプロジェクトはそれを1文字の関数で包みます。TwigやBladeのようなテンプレートエンジンは、すべての{{ $var }}に対して同じことを自動で行います。

<?php
function e(?string $value): string
{
    return htmlspecialchars($value ?? '', ENT_QUOTES, 'UTF-8');
}

$users = [
    ['name' => 'Ada <admin>', 'bio' => 'Writes "notes" & programs'],
    ['name' => "O'Brien", 'bio' => null],
];
?>
<ul>
<?php foreach ($users as $u): ?>
  <li title="<?= e($u['bio']) ?>"><strong><?= e($u['name']) ?></strong>: <?= e($u['bio'] ?? 'no bio') ?></li>
<?php endforeach; ?>
</ul>

?string型と?? ''が重要です。htmlspecialchars()にnullを渡すのはPHP 8.1以降非推奨で、自分の環境のPHPでは自己紹介のないユーザーごとに非推奨の通知が表示されてしまいます。

二重エンコードとhtmlspecialchars_decode

値が2回エスケープされると、読む人にエンティティが見えてしまいます。&は1回目で&に、2回目で&になり、ブラウザはそれを&と表示します。たいていは、保存するときにエスケープし、出力するときにもう一度エスケープしたことを意味します。既存のエンティティをそのままにするにはdouble_encode: falseを渡し、元に戻すにはhtmlspecialchars_decode()を使います。

<?php
$once = htmlspecialchars('Fish & Chips "special"');
echo $once, "\n";

echo htmlspecialchars($once), "\n";                        // escaped twice
echo htmlspecialchars($once, double_encode: false), "\n";  // existing entities kept
echo htmlspecialchars_decode($once), "\n";                 // back to the original

本当の解決策は、生のテキストを保存し、出力するときだけエスケープすることです。double_encode: falseは、取り込んだフィードのように、自分が作ったのではないエンティティをすでに含むテキストのためのものです。

htmlspecialchars、htmlentities、strip_tagsの違い

この3つはよく混同されます。このブロックは同じ入力にすべてを実行し、それぞれについてPHPが何を出力し、ブラウザがそれをどう表示するかを示します。

<?php
$input = '<b onclick="steal()">Café</b> & <u>notes</u>';

$results = [
    'htmlspecialchars' => htmlspecialchars($input),
    'htmlentities' => htmlentities($input),
    'strip_tags' => strip_tags($input),
    "strip_tags with '<b>' allowed" => strip_tags($input, '<b>'),
];
?>
<table border="1" cellpadding="6">
  <tr><th>Function</th><th>PHP prints</th><th>Browser shows</th></tr>
<?php foreach ($results as $fn => $out): ?>
  <tr><td><?= htmlspecialchars($fn) ?></td><td><code><?= htmlspecialchars($out) ?></code></td><td><?= $out ?></td></tr>
<?php endforeach; ?>
</table>

• htmlspecialchars()はHTMLの5つの文字をエスケープします。HTMLに出力するすべてのテキストに使います。
• htmlentities()はéもéに変えます。ページがUTF-8でなかった頃には役立ちましたが、今はソースを読みにくくするだけです。
• strip_tags()はタグを削除してテキストを残します。HTMLをプレーンテキストにする（メールのプレビュー、メタディスクリプション）ためのもので、セキュリティのためではありません。最後の行が示すように、許可した<b>はonclickを残し、属性の中に置かれたテキストにはまったく触れません。

htmlspecialcharsでは足りない場所

htmlspecialchars()は、HTMLのテキストと引用符で囲んだ属性に対する正しいエスケープです。ページのほかの場所にはほかのルールがあります。

<?php
$search = 'rock & roll "live"';
$user = ['name' => "</script><b>Ada</b>", 'id' => 7];

// Inside a URL: encode the value, then escape the whole URL for the attribute
$href = '?' . http_build_query(['q' => $search]);
echo '<p><a href="' . htmlspecialchars($href) . '">Search</a></p>', "\n";

// Inside <script>: json_encode with the HEX flags, never htmlspecialchars
$json = json_encode($user, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
echo "<script>const user = $json;</script>\n";
echo '<p>Script data: <code>' . htmlspecialchars($json) . '</code></p>', "\n";

• URLの中では、http_build_query()かurlencode()が値をエンコードし、そのあとhtmlspecialchars()がパラメータの間の&を正しいHTMLにします。
• JavaScriptの中では、json_encode()が正しいJSの値を作り、JSON_HEX_TAGが<と>を\u003Cと\u003Eに変えるので、データの中の</script>がscriptタグを閉じることはありません。
• スキームを確認せずにユーザーの入力をhrefに出力してはいけません。htmlspecialchars('javascript:alert(1)')は何も変わらず、クリックすると実行されます。filter_varのページで示しているように、httpとhttpsのURLだけを受け付けましょう。

これらすべてを組み合わせたフォームの処理は、PHPのフォームを参照してください。