PHP htmlspecialchars(): escape HTML và chống XSS

htmlspecialchars($text) chuyển &, <, >, " và ' thành &, <, >, " và '. Hãy gọi hàm này với mọi dữ liệu người dùng nhập mà bạn in vào trang, khi đó dữ liệu sẽ hiện ra như văn bản thay vì bị đọc như HTML.

Khối code in cùng một bình luận hai lần, một lần nguyên bản và một lần đã escape. Chạy code rồi so sánh hai dòng ở tab Trang, sau đó gõ HTML của riêng bạn vào form, ví dụ <h1>big</h1> hoặc <img src=x>, rồi nhấn Show.

<?php
$comment = $_POST['comment'] ?? '<b>Great</b> post, <i>thanks</i> & "see you"';
?>
<form method="post">
  <input name="comment" size="40" value="<?= htmlspecialchars($comment) ?>">
  <button>Show</button>
</form>
<p>Raw: <?= $comment ?></p>
<p>Escaped: <?= htmlspecialchars($comment) ?></p>

Ở dòng nguyên bản, trình duyệt làm theo các thẻ: chữ in đậm thì được in đậm, và một người truy cập gõ <script> sẽ khiến script của họ chạy trên trình duyệt của mọi người đọc khác. Kiểu tấn công này gọi là cross-site scripting (XSS). Ở dòng đã escape, cùng những ký tự đó đến dưới dạng <b> và trình duyệt vẽ chúng ra như văn bản. Chuyển sang tab Đầu ra để xem các entity mà PHP thực sự in ra.

htmlspecialchars chuyển đổi những gì

Năm ký tự, không hơn. Chữ cái, dấu và emoji đi qua mà không thay đổi.

<?php
$samples = ['<', '>', '&', '"', "'", 'café ☕', "Tom & Jerry's", '5 < 6 && 7 > 2'];

foreach ($samples as $s) {
    echo mb_str_pad($s, 16), ' => ', htmlspecialchars($s), "\n";
}

& có trong danh sách vì mọi entity đều bắt đầu bằng nó: nếu để nguyên, một bình luận nhắc đến < sẽ bị hiển thị thành <.

Escape cả thuộc tính, không chỉ văn bản

Dữ liệu người dùng nằm trong thuộc tính cũng cần escape không kém. Thiếu nó, một dấu nháy trong giá trị sẽ đóng thuộc tính lại và phần còn lại của dữ liệu trở thành các thuộc tính mới. Ở đây "tên" lén chèn vào một thuộc tính style; hãy chạy và nhìn hai ô nhập.

<?php
$name = 'Ada" style="background:#c62828;color:#fff';
?>
<p>Unsafe: <input size="45" value="<?= $name ?>"></p>
<p>Safe: <input size="45" value="<?= htmlspecialchars($name) ?>"></p>

Ở ô không an toàn, trình duyệt thấy value="Ada" theo sau là một thuộc tính style mới, nên ô chuyển sang màu đỏ và chỉ hiện Ada. Kẻ tấn công sẽ viết onfocus="..." ở đó thay cho style, và code của họ sẽ chạy. Ở ô an toàn, mọi " đã thành ", nên toàn bộ chuỗi nằm gọn trong value và hiện ra đúng như khi gõ.

Từ PHP 8.1, flag mặc định là ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401, nên nháy đơn cũng được escape và các thuộc tính viết bằng '...' đều an toàn. Code cũ thường tự truyền ENT_QUOTES, và trên PHP 7 trở về trước thì việc này là bắt buộc:

<?php
$s = "It's <ok>";

echo htmlspecialchars($s), "\n";                // PHP 8.1+ default: ENT_QUOTES
echo htmlspecialchars($s, ENT_COMPAT), "\n";    // the old default: ' left alone
echo htmlspecialchars($s, ENT_NOQUOTES), "\n";  // no quotes escaped at all

Một hàm hỗ trợ ngắn cho template

Viết htmlspecialchars($x, ENT_QUOTES, 'UTF-8') hàng chục lần trong một template thì rối mắt, nên phần lớn dự án gói nó vào một hàm tên một chữ cái. Các template engine như Twig và Blade tự động làm điều tương tự cho mọi {{ $var }}.

<?php
function e(?string $value): string
{
    return htmlspecialchars($value ?? '', ENT_QUOTES, 'UTF-8');
}

$users = [
    ['name' => 'Ada <admin>', 'bio' => 'Writes "notes" & programs'],
    ['name' => "O'Brien", 'bio' => null],
];
?>
<ul>
<?php foreach ($users as $u): ?>
  <li title="<?= e($u['bio']) ?>"><strong><?= e($u['name']) ?></strong>: <?= e($u['bio'] ?? 'no bio') ?></li>
<?php endforeach; ?>
</ul>

Kiểu ?string và ?? '' rất quan trọng: truyền null vào htmlspecialchars() đã bị deprecated từ PHP 8.1, và PHP của bạn sẽ in một thông báo deprecated cho mỗi người dùng không có phần giới thiệu.

Mã hóa hai lần và htmlspecialchars_decode

Nếu một giá trị bị escape hai lần, người đọc sẽ thấy các entity: & thành & ở lần đầu và & ở lần thứ hai, và trình duyệt hiển thị nó là &. Điều này thường có nghĩa là giá trị đã bị escape khi lưu và lại bị escape khi in ra. Truyền double_encode: false để giữ nguyên các entity có sẵn, và dùng htmlspecialchars_decode() để chuyển ngược lại.

<?php
$once = htmlspecialchars('Fish & Chips "special"');
echo $once, "\n";

echo htmlspecialchars($once), "\n";                        // escaped twice
echo htmlspecialchars($once, double_encode: false), "\n";  // existing entities kept
echo htmlspecialchars_decode($once), "\n";                 // back to the original

Cách sửa thật sự là lưu văn bản gốc và chỉ escape khi xuất ra. double_encode: false dành cho văn bản vốn đã chứa những entity không do bạn tạo ra, chẳng hạn một feed được nhập vào.

htmlspecialchars, htmlentities hay strip_tags

Ba hàm này rất hay bị nhầm lẫn. Khối code chạy cả ba trên cùng một đầu vào và cho thấy, với từng hàm, PHP in ra gì và trình duyệt hiểu nó thế nào:

<?php
$input = '<b onclick="steal()">Café</b> & <u>notes</u>';

$results = [
    'htmlspecialchars' => htmlspecialchars($input),
    'htmlentities' => htmlentities($input),
    'strip_tags' => strip_tags($input),
    "strip_tags with '<b>' allowed" => strip_tags($input, '<b>'),
];
?>
<table border="1" cellpadding="6">
  <tr><th>Function</th><th>PHP prints</th><th>Browser shows</th></tr>
<?php foreach ($results as $fn => $out): ?>
  <tr><td><?= htmlspecialchars($fn) ?></td><td><code><?= htmlspecialchars($out) ?></code></td><td><?= $out ?></td></tr>
<?php endforeach; ?>
</table>

• htmlspecialchars() escape năm ký tự HTML. Hãy dùng nó cho mọi văn bản bạn in vào HTML.
• htmlentities() còn biến é thành é. Hàm này từng hữu ích khi các trang chưa dùng UTF-8; ngày nay nó chỉ làm mã nguồn khó đọc hơn.
• strip_tags() xóa thẻ và giữ lại phần chữ. Hàm này dùng để biến HTML thành văn bản thuần (bản xem trước email, meta description), không phải để bảo mật: hàng cuối cho thấy thẻ <b> được phép vẫn giữ nguyên onclick, còn văn bản đặt trong thuộc tính thì hoàn toàn không bị đụng tới.

Khi nào htmlspecialchars là chưa đủ

htmlspecialchars() là cách escape đúng cho văn bản HTML và các thuộc tính có dấu nháy. Những chỗ khác trong trang có quy tắc riêng:

<?php
$search = 'rock & roll "live"';
$user = ['name' => "</script><b>Ada</b>", 'id' => 7];

// Inside a URL: encode the value, then escape the whole URL for the attribute
$href = '?' . http_build_query(['q' => $search]);
echo '<p><a href="' . htmlspecialchars($href) . '">Search</a></p>', "\n";

// Inside <script>: json_encode with the HEX flags, never htmlspecialchars
$json = json_encode($user, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
echo "<script>const user = $json;</script>\n";
echo '<p>Script data: <code>' . htmlspecialchars($json) . '</code></p>', "\n";

• Trong URL, http_build_query() hoặc urlencode() mã hóa giá trị; sau đó htmlspecialchars() làm cho dấu & giữa các tham số thành HTML hợp lệ.
• Trong JavaScript, json_encode() tạo ra một giá trị JS hợp lệ, và JSON_HEX_TAG biến < và > thành \u003C và \u003E, nên một </script> trong dữ liệu không thể đóng thẻ script.
• Đừng bao giờ in dữ liệu người dùng vào href mà không kiểm tra scheme: htmlspecialchars('javascript:alert(1)') không thay đổi gì và vẫn chạy khi được bấm. Chỉ chấp nhận URL http và https, như được trình bày ở trang filter_var.

Để xem cách xử lý form kết hợp tất cả những điều này, hãy đọc form trong PHP.