htmlentities() vs htmlspecialchars() في PHP: شرح شامل مع أمثلة

htmlentities() vs. htmlspecialchars(): معركة عمالقة التعقيم في PHP

إذا سبق لك التعامل مع عرض بيانات المستخدمين على صفحة ويب، فبالتأكيد سمعت عن الدالتين htmlentities() و htmlspecialchars(). هما أداتا PHP الأساسيتان للحماية من هجمات XSS (Cross-Site Scripting) ولعرض رموز HTML بشكل صحيح. لكن ما الفرق بينهما؟ أي منهما مناسب للمبتدئ، وأيهما للمحترف؟ دعنا نفهم الأمر مرة واحدة وإلى الأبد.

تخيل أنك تبني مدونة بـ PHP، وأحد المستخدمين أدخل تعليقًا: <script>alert('XSS')</script>. إذا قمت بعرضه مباشرة، سيقوم المتصفح بتنفيذ الكود. كارثة! هنا يأتي دور htmlspecialchars() و htmlentities(). لكن كل منهما يعمل بطريقة مختلفة.

ما المشترك بين htmlspecialchars() و htmlentities()؟

كلتا الدالتين تقومان بتحويل الرموز الخاصة في HTML إلى كيانات HTML (entities). على سبيل المثال:

\n
• & (علامة العطف) → &
\n
• < (أصغر من) → <
\n
• > (أكبر من) → >
\n
• " (الاقتباس المزدوج) → "
\n
• ' (الاقتباس المفرد) → ' (أو ' حسب العلم)
\n

بدونهما، أي إدخال يحتوي على أقواس زاوية أو علامات عطف سيكسر تنسيق الصفحة أو يفتح الباب أمام المخترقين.

الفرق الرئيسي: نطاق التحويل

هنا يكمن السر. htmlspecialchars() هي المقاتل الاقتصادي. تقوم بتحويل خمسة رموز أساسية فقط لها معنى مباشر في HTML:

\n
• & → &
\n
• < → <
\n
• > → >
\n
• " → "
\n
• ' → ' (إذا تم تفعيل العلم ENT_QUOTES)

أما htmlentities() فهي المثالية. تقوم بتحويل جميع الرموز التي لها كيانات HTML مقابلة. ليس فقط الأقواس الزاوية، بل أيضًا رموز العملات (€, £, ¥)، العلامات الرياضية (∑, ∂)، الحروف ذات العلامات التشكيلية (é, ñ, ü)، وحتى الرموز التعبيرية (☺).

مثال بسيط: الفرق عمليًا

لننظر إلى الكود. افترض أن لدينا نصًا بالفرنسية:

<?php\n$text = "Café & thé <script>alert('test')</script>";\necho "htmlspecialchars: " . htmlspecialchars($text, ENT_QUOTES, 'UTF-8') . "<br>";\necho "htmlentities: " . htmlentities($text, ENT_QUOTES, 'UTF-8');\n?>

النتيجة:

htmlspecialchars: Café & thé <script>alert('test')</script>\nhtmlentities: Café & thé <script>alert('test')</script>

في هذا المثال لا يوجد فرق، لأن الحروف مثل "é" ليس لها معنى خاص في HTML. لكن دعنا نجرب مع رموز لها كيانات:

<?php\n$text = "€ 100 <b>bold</b>";\necho "htmlspecialchars: " . htmlspecialchars($text, ENT_QUOTES, 'UTF-8') . "<br>";\necho "htmlentities: " . htmlentities($text, ENT_QUOTES, 'UTF-8');\n?>

النتيجة:

htmlspecialchars: € 100 <b>bold</b>\nhtmlentities: &euro; 100 <b>bold</b>

هل ترى؟ htmlentities() حولت رمز اليورو "€" إلى كيان €. بينما htmlspecialchars() تركته كما هو. لماذا؟ لأن "€" ليس رمزًا خطيرًا في HTML — المتصفح سيعرضه بشكل صحيح حتى بدون تعقيم.

متى تستخدم htmlspecialchars()؟

هذا هو اختيارك الافتراضي. استخدم htmlspecialchars() في 99% من الحالات عند عرض بيانات المستخدم