PHP htmlspecialchars(): HTML Kaçışlama ve XSS Önleme

htmlspecialchars($text) &, <, >, " ve ' karakterlerini &, <, >, " ve ' değerlerine çevirir. Bir sayfaya yazdırdığınız her kullanıcı girdisi parçasında onu çağırın; girdi HTML olarak okunmak yerine metin olarak gösterilir.

Blok aynı yorumu iki kez yazdırır, bir kez ham ve bir kez kaçışlanmış. Çalıştırın ve Page sekmesindeki iki satırı karşılaştırın, sonra forma kendi HTML'inizi yazın, örneğin <h1>big</h1> veya <img src=x>, ve Show düğmesine basın.

<?php
$comment = $_POST['comment'] ?? '<b>Great</b> post, <i>thanks</i> & "see you"';
?>
<form method="post">
  <input name="comment" size="40" value="<?= htmlspecialchars($comment) ?>">
  <button>Show</button>
</form>
<p>Raw: <?= $comment ?></p>
<p>Escaped: <?= htmlspecialchars($comment) ?></p>

Ham satırda tarayıcı etiketlere uyar: kalın kelime kalın olur ve <script> yazan bir ziyaretçinin betiği diğer her okuyucunun tarayıcısında çalışır. Bu saldırıya siteler arası betik çalıştırma (XSS) denir. Kaçışlanmış satırda aynı karakterler <b> olarak gelir ve tarayıcı onları metin olarak çizer. PHP'nin gerçekte yazdırdığı varlıkları görmek için Output sekmesine geçin.

htmlspecialchars neleri dönüştürür

Beş karakter, başka hiçbir şey. Harfler, aksanlar ve emoji değişmeden geçer.

<?php
$samples = ['<', '>', '&', '"', "'", 'café ☕', "Tom & Jerry's", '5 < 6 && 7 > 2'];

foreach ($samples as $s) {
    echo mb_str_pad($s, 16), ' => ', htmlspecialchars($s), "\n";
}

& listededir çünkü her varlık onunla başlar: dokunulmadan bırakılsaydı < ifadesinden bahseden bir yorum < olarak gösterilirdi.

Yalnızca metni değil, öznitelikleri de kaçışlayın

Bir özniteliğin içindeki kullanıcı girdisi de aynı ölçüde kaçışlama gerektirir. O olmadan değerdeki bir tırnak özniteliği kapatır ve girdinin geri kalanı yeni öznitelikler olur. Burada "isim" gizlice bir style özniteliği ekler; çalıştırın ve iki kutuya bakın.

<?php
$name = 'Ada" style="background:#c62828;color:#fff';
?>
<p>Unsafe: <input size="45" value="<?= $name ?>"></p>
<p>Safe: <input size="45" value="<?= htmlspecialchars($name) ?>"></p>

Güvensiz kutuda tarayıcı value="Ada" ve ardından yeni bir style özniteliği görür, bu yüzden kutu kırmızıya döner ve yalnızca Ada gösterir. Bir saldırgan orada style yerine onfocus="..." yazardı ve kodu çalışırdı. Güvenli kutuda her " " oldu, bu yüzden dizgenin tamamı value içinde kalır ve yazıldığı gibi gösterilir.

PHP 8.1'den beri varsayılan bayraklar ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401 olduğu için tek tırnaklar da kaçışlanır ve '...' ile yazılan öznitelikler güvenlidir. Eski kodlar çoğu zaman ENT_QUOTES değerini elle verir ve PHP 7 ve öncesinde bu gerekliydi:

<?php
$s = "It's <ok>";

echo htmlspecialchars($s), "\n";                // PHP 8.1+ default: ENT_QUOTES
echo htmlspecialchars($s, ENT_COMPAT), "\n";    // the old default: ' left alone
echo htmlspecialchars($s, ENT_NOQUOTES), "\n";  // no quotes escaped at all

Şablonlar için kısa bir yardımcı

Bir şablonda düzinelerce kez htmlspecialchars($x, ENT_QUOTES, 'UTF-8') yazmak kalabalık yaratır, bu yüzden çoğu proje onu tek harfli bir fonksiyonla sarar. Twig ve Blade gibi şablon motorları her {{ $var }} için aynısını otomatik olarak yapar.

<?php
function e(?string $value): string
{
    return htmlspecialchars($value ?? '', ENT_QUOTES, 'UTF-8');
}

$users = [
    ['name' => 'Ada <admin>', 'bio' => 'Writes "notes" & programs'],
    ['name' => "O'Brien", 'bio' => null],
];
?>
<ul>
<?php foreach ($users as $u): ?>
  <li title="<?= e($u['bio']) ?>"><strong><?= e($u['name']) ?></strong>: <?= e($u['bio'] ?? 'no bio') ?></li>
<?php endforeach; ?>
</ul>

?string türü ve ?? '' önemlidir: htmlspecialchars() fonksiyonuna null vermek PHP 8.1'den beri kullanımdan kaldırılmıştır ve sizin PHP'niz biyografisi olmayan her kullanıcı için bir kullanımdan kaldırma bildirimi yazdırırdı.

Çift kodlama ve htmlspecialchars_decode

Bir değer iki kez kaçışlanırsa okuyucu varlıkları görür: & ilk seferde &, ikincisinde & olur ve tarayıcı bunu & olarak gösterir. Bu genellikle değerin kaydedilirken ve yazdırılırken yeniden kaçışlandığı anlamına gelir. Var olan varlıklara dokunmamak için double_encode: false verin ve geri dönmek için htmlspecialchars_decode() kullanın.

<?php
$once = htmlspecialchars('Fish & Chips "special"');
echo $once, "\n";

echo htmlspecialchars($once), "\n";                        // escaped twice
echo htmlspecialchars($once, double_encode: false), "\n";  // existing entities kept
echo htmlspecialchars_decode($once), "\n";                 // back to the original

Gerçek çözüm ham metni saklamak ve yalnızca çıktıda kaçışlamaktır. double_encode: false içe aktarılmış bir besleme gibi sizin oluşturmadığınız varlıklar içeren metinler içindir.

htmlspecialchars, htmlentities ve strip_tags karşılaştırması

Bu üçü sık karıştırılır. Blok hepsini aynı girdi üzerinde çalıştırır ve her biri için PHP'nin ne yazdırdığını ve tarayıcının bundan ne çıkardığını gösterir:

<?php
$input = '<b onclick="steal()">Café</b> & <u>notes</u>';

$results = [
    'htmlspecialchars' => htmlspecialchars($input),
    'htmlentities' => htmlentities($input),
    'strip_tags' => strip_tags($input),
    "strip_tags with '<b>' allowed" => strip_tags($input, '<b>'),
];
?>
<table border="1" cellpadding="6">
  <tr><th>Function</th><th>PHP prints</th><th>Browser shows</th></tr>
<?php foreach ($results as $fn => $out): ?>
  <tr><td><?= htmlspecialchars($fn) ?></td><td><code><?= htmlspecialchars($out) ?></code></td><td><?= $out ?></td></tr>
<?php endforeach; ?>
</table>

• htmlspecialchars() beş HTML karakterini kaçışlar. HTML'e yazdırdığınız her metin için kullanın.
• htmlentities() ayrıca é karakterini é yapar. Sayfalar UTF-8 değilken kullanışlıydı; bugün yalnızca kaynağı okumayı zorlaştırır.
• strip_tags() etiketleri siler ve metinlerini korur. HTML'i düz metne çevirmek (bir e-posta önizlemesi, bir meta açıklama) içindir, güvenlik için değil: son satır izin verilen bir <b> etiketinin onclick özniteliğini koruduğunu ve bir özniteliğin içine konan metne hiç dokunulmadığını gösterir.

htmlspecialchars'ın yetmediği yerler

htmlspecialchars() HTML metni ve tırnaklı öznitelikler için doğru kaçışlamadır. Bir sayfanın diğer yerlerinin başka kuralları vardır:

<?php
$search = 'rock & roll "live"';
$user = ['name' => "</script><b>Ada</b>", 'id' => 7];

// Inside a URL: encode the value, then escape the whole URL for the attribute
$href = '?' . http_build_query(['q' => $search]);
echo '<p><a href="' . htmlspecialchars($href) . '">Search</a></p>', "\n";

// Inside <script>: json_encode with the HEX flags, never htmlspecialchars
$json = json_encode($user, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
echo "<script>const user = $json;</script>\n";
echo '<p>Script data: <code>' . htmlspecialchars($json) . '</code></p>', "\n";

• Bir URL'de http_build_query() veya urlencode() değeri kodlar; htmlspecialchars() ardından parametreler arasındaki & işaretini geçerli HTML yapar.
• JavaScript'te json_encode() geçerli bir JS değeri üretir ve JSON_HEX_TAG < ve > karakterlerini \u003C ve \u003E yapar, böylece verideki bir </script> betik etiketini kapatamaz.
• Kullanıcı girdisini şemasını kontrol etmeden asla bir href içine yazdırmayın: htmlspecialchars('javascript:alert(1)') değişmez ve tıklandığında yine çalışır. filter_var sayfasında gösterildiği gibi yalnızca http ve https URL'lerini kabul edin.

Bunların hepsini bir araya getiren form işleme için PHP formlar sayfasına bakın.