1

Где нужно/можно использовать htmlspecialchars() ?

  1. Когда добавляем инфо в базу?
  2. Когда выводим из базы?

Например,пользователь ввел <div>some text</div>, должен ли я это обрабатывать htmlspecialchars()-ом и только тогда добавлять в базу?

В каком виде нужно хранить информацию в базе?

И еще один вопрос - если у меня в базе есть текст, но он в следующем формате

<div><span>something</span><a href="example.com">example.com</a></div>

Если использовать htmlspecialchars() на этом тексте, то он выводиться как в html редакторе (включая тэги). Как можно использовать htmlspecialchars() в данном случае?

1
  • 2
    Лучше добавлять это для вывода из базы... При добавлении текста, лучше оставлять его оригинальным. По той причине, что это может быть кусок кода, например, если это форум программирования или еще что-то в этом роде. Потому сохраняем оригинал в базе, а выводим с htmlspecialchars() если надо это. На мой взгляд это правильно. Потеря производительности не такая уж большая будет там, фрагменты вводимые пользователям в формах обычно не бывают объемными.
    – IntegralAL
    1 окт 2014 в 7:48

3 ответа 3

3

htmlspecialchars() используется для форматирования данных, которые выводятся в контексте HTML. При этом управляющие символы HTML заменяются на на их эквиваленты, чтобы какая-нибудь кавычка лишняя не испортила всю разметку. Ну и чтобы вредоносный код не внедрялся.

При этом форматироваться таким образом должны любые данные (кроме заранее отформатированного HTML), а не только полученные из базы.

Получается, что к базе данных ваш вопрос не имеет отношения. Ни при записи в БД, ни при получении (в общем случае) эту функцию применять не надо. Если данные из БД выводятся на HTML страницу, то htmlspecialchars() должна применяться, да. Но не потому что из базы, а потому что в HTML.

Если мы составляем письмо в HTML формате, то мы должны применять эту функцию, для любых данных, независимо от того, откуда они пришли - хоть из БД, хоть из формы, хоть из текстового файла.

Важно не откуда пришли данные, а куда они идут.

3
  • А если я не уверен в коде, как использовать эту функцию?
    – User999
    18 янв 2014 в 9:41
  • Вы не уверены в своем коде или чужом? Здесь принципиальная разница? Чужому коду я бы не советовал доверять в любом случае. Если вы используете что-то типа админ-панели на своем сайте, то для добавления информации на сайт с помощью форм, лучше использовать специализированные ф-и и альтернативный синтаксис (что-то подобное на BBCode, например), а не доверять чистому HTML от ваших пользователей. Тоесть htmlspecialchars() не совсем то, что нужно для выполнения таких задач.
    – MDJHD
    18 янв 2014 в 11:05
  • 1
    Очень неудачный подход. Не всегда то, что вставляется в базу, потом выводится в html страницу. Экранирование следует применять перед использованием данных. И экранирование бывает разное - для html - одно, для вставки в качестве GET-параметра - дргугое, в регулярку - третье и т. д. 7 апр 2016 в 3:57
-1

Как вариант, можно пользоваться функцией [strip_tags][1] [1]: https://www.php.net/manual/ru/function.strip-tags.php и просто удалять html-теги из входящих данных

3
  • 1
    Это не вариант, так как strip_tags() не предотвращает XSS атаки.
    – User999
    18 янв 2014 в 9:38
  • Не знал о некоторых тонкостях работы этой функции, извиняйте. Сейчас прогнал эту тему с экранирование/преобразованием. Суть по комментариям на том же stackoverflow, в случае, если вы работаете с базой данных, достаточно просто использование mysqli_real_escape_string (хотя некоторые используют обе функции), если же вы выводите код на страницу - ипользуйте htmlspecialchars.
    – andreyqin
    18 янв 2014 в 14:33
  • 1
    Это вариант для крайне ограниченного прменения и он не является полноценной заменой htmlspecialchars(). Вообще ломать входные данные не всегда хорошо. 7 апр 2016 в 8:05
-1

Эту функцию стоит применять при проверке отправленных пользователем данных. Лучше не позволять пользователям применять конструкции с html тэгами для безопасности. Но если вам так охота этого, то проверяйте входящие данные регулярками, например исключая такие тэги как script и т.д. Свои страницы из базы можно не прогонять через htmlspecialchars, тогда будет выводиться страница корректно.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.