PHP htmlspecialchars(): экранирование HTML и защита от XSS

htmlspecialchars($text) преобразует &, <, >, " и ' в &, <, >, " и '. Вызывайте её для каждого фрагмента пользовательского ввода, который выводите на страницу, и ввод будет показан как текст, а не прочитан как HTML.

Блок выводит один и тот же комментарий дважды, один раз как есть и один раз экранированным. Запустите его и сравните две строки во вкладке Page, затем введите в форму свой HTML, например <h1>big</h1> или <img src=x>, и нажмите Show.

<?php
$comment = $_POST['comment'] ?? '<b>Great</b> post, <i>thanks</i> & "see you"';
?>
<form method="post">
  <input name="comment" size="40" value="<?= htmlspecialchars($comment) ?>">
  <button>Show</button>
</form>
<p>Raw: <?= $comment ?></p>
<p>Escaped: <?= htmlspecialchars($comment) ?></p>

В строке без экранирования браузер подчиняется тегам: жирное слово жирное, а посетитель, который ввёл <script>, получает свой скрипт выполненным в браузере у каждого другого читателя. Эта атака называется межсайтовым скриптингом (XSS). В экранированной строке те же символы приходят как <b>, и браузер рисует их как текст. Переключитесь на вкладку Output, чтобы увидеть сущности, которые на самом деле вывел PHP.

Что преобразует htmlspecialchars

Пять символов и ничего больше. Буквы, диакритика и эмодзи проходят без изменений.

<?php
$samples = ['<', '>', '&', '"', "'", 'café ☕', "Tom & Jerry's", '5 < 6 && 7 > 2'];

foreach ($samples as $s) {
    echo mb_str_pad($s, 16), ' => ', htmlspecialchars($s), "\n";
}

& в этом списке, потому что с него начинается каждая сущность: если оставить его как есть, комментарий, где упоминается <, отобразился бы как <.

Экранируйте атрибуты, а не только текст

Пользовательский ввод внутри атрибута нуждается в экранировании ничуть не меньше. Без него кавычка в значении закрывает атрибут, а остаток ввода становится новыми атрибутами. Здесь "имя" протаскивает атрибут style; запустите и посмотрите на два поля.

<?php
$name = 'Ada" style="background:#c62828;color:#fff';
?>
<p>Unsafe: <input size="45" value="<?= $name ?>"></p>
<p>Safe: <input size="45" value="<?= htmlspecialchars($name) ?>"></p>

В небезопасном поле браузер видит value="Ada", а за ним новый атрибут style, поэтому поле становится красным и показывает только Ada. Атакующий написал бы там onfocus="..." вместо style, и его код выполнился бы. В безопасном поле каждая " стала ", поэтому вся строка остаётся внутри value и показывается так, как введена.

Начиная с PHP 8.1 флаги по умолчанию это ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401, поэтому одинарные кавычки тоже экранируются, и атрибуты, записанные через '...', безопасны. Старый код часто передаёт ENT_QUOTES вручную, а в PHP 7 и раньше это было обязательно:

<?php
$s = "It's <ok>";

echo htmlspecialchars($s), "\n";                // PHP 8.1+ default: ENT_QUOTES
echo htmlspecialchars($s, ENT_COMPAT), "\n";    // the old default: ' left alone
echo htmlspecialchars($s, ENT_NOQUOTES), "\n";  // no quotes escaped at all

Короткая вспомогательная функция для шаблонов

Писать htmlspecialchars($x, ENT_QUOTES, 'UTF-8') десятки раз в шаблоне громоздко, поэтому большинство проектов оборачивают её в функцию из одной буквы. Шаблонизаторы вроде Twig и Blade делают то же автоматически для каждого {{ $var }}.

<?php
function e(?string $value): string
{
    return htmlspecialchars($value ?? '', ENT_QUOTES, 'UTF-8');
}

$users = [
    ['name' => 'Ada <admin>', 'bio' => 'Writes "notes" & programs'],
    ['name' => "O'Brien", 'bio' => null],
];
?>
<ul>
<?php foreach ($users as $u): ?>
  <li title="<?= e($u['bio']) ?>"><strong><?= e($u['name']) ?></strong>: <?= e($u['bio'] ?? 'no bio') ?></li>
<?php endforeach; ?>
</ul>

Тип ?string и ?? '' важны: передача null в htmlspecialchars() объявлена устаревшей с PHP 8.1, и ваш PHP печатал бы уведомление об устаревании для каждого пользователя без описания.

Двойное кодирование и htmlspecialchars_decode

Если значение экранировано дважды, читатель видит сущности: & в первый раз становится &, а во второй &, что браузер показывает как &. Обычно это значит, что значение экранировали при сохранении и снова при выводе. Передайте double_encode: false, чтобы не трогать существующие сущности, а для обратного преобразования используйте htmlspecialchars_decode().

<?php
$once = htmlspecialchars('Fish & Chips "special"');
echo $once, "\n";

echo htmlspecialchars($once), "\n";                        // escaped twice
echo htmlspecialchars($once, double_encode: false), "\n";  // existing entities kept
echo htmlspecialchars_decode($once), "\n";                 // back to the original

Настоящее решение это хранить исходный текст и экранировать только при выводе. double_encode: false нужен для текста, где уже есть сущности, созданные не вами, например в импортированной ленте.

htmlspecialchars, htmlentities и strip_tags

Эти три функции часто путают. Блок прогоняет все три на одних и тех же данных и показывает для каждой, что выводит PHP и что из этого делает браузер:

<?php
$input = '<b onclick="steal()">Café</b> & <u>notes</u>';

$results = [
    'htmlspecialchars' => htmlspecialchars($input),
    'htmlentities' => htmlentities($input),
    'strip_tags' => strip_tags($input),
    "strip_tags with '<b>' allowed" => strip_tags($input, '<b>'),
];
?>
<table border="1" cellpadding="6">
  <tr><th>Function</th><th>PHP prints</th><th>Browser shows</th></tr>
<?php foreach ($results as $fn => $out): ?>
  <tr><td><?= htmlspecialchars($fn) ?></td><td><code><?= htmlspecialchars($out) ?></code></td><td><?= $out ?></td></tr>
<?php endforeach; ?>
</table>

• htmlspecialchars() экранирует пять символов HTML. Используйте её для любого текста, который выводите в HTML.
• htmlentities() превращает ещё и é в é. Это было полезно, когда страницы были не в UTF-8; сегодня это лишь затрудняет чтение исходного кода.
• strip_tags() удаляет теги и оставляет их текст. Она нужна, чтобы превратить HTML в простой текст (превью письма, meta description), а не для безопасности: последняя строка показывает, что разрешённый <b> сохраняет свой onclick, а текст внутри атрибута не трогается вовсе.

Где htmlspecialchars недостаточно

htmlspecialchars() это правильное экранирование для текста HTML и атрибутов в кавычках. В других местах страницы свои правила:

<?php
$search = 'rock & roll "live"';
$user = ['name' => "</script><b>Ada</b>", 'id' => 7];

// Inside a URL: encode the value, then escape the whole URL for the attribute
$href = '?' . http_build_query(['q' => $search]);
echo '<p><a href="' . htmlspecialchars($href) . '">Search</a></p>', "\n";

// Inside <script>: json_encode with the HEX flags, never htmlspecialchars
$json = json_encode($user, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
echo "<script>const user = $json;</script>\n";
echo '<p>Script data: <code>' . htmlspecialchars($json) . '</code></p>', "\n";

• В URL значение кодирует http_build_query() или urlencode(); затем htmlspecialchars() делает & между параметрами корректным HTML.
• В JavaScript json_encode() даёт корректное значение JS, а JSON_HEX_TAG превращает < и > в \u003C и \u003E, поэтому </script> в данных не может закрыть тег скрипта.
• Никогда не выводите пользовательский ввод в href, не проверив схему: htmlspecialchars('javascript:alert(1)') остаётся без изменений и всё равно выполняется при нажатии. Принимайте только URL с http и https, как показано на странице про filter_var.

Обработка форм, которая собирает всё это вместе, описана в разделе о формах PHP.