htmlentities() vs htmlspecialchars() in PHP: Vollständiger Leitfaden mit Beispielen

htmlentities() vs. htmlspecialchars(): Der Kampf der Escaping-Titanen in PHP

Wenn du jemals Benutzereingaben auf einer Webseite ausgegeben hast, kennst du bestimmt die Funktionen htmlentities() und htmlspecialchars(). Sie sind die beiden wichtigsten Werkzeuge in PHP, um sich vor XSS-Angriffen zu schützen und HTML-Sonderzeichen korrekt darzustellen. Aber worin liegt der Unterschied? Welche Funktion sollte ein Anfänger wählen und welche ein Profi? Lass uns das ein für alle Mal klären.

Stell dir vor: Du programmierst ein Blog in PHP, und ein Benutzer hinterlässt einen Kommentar: <script>alert('XSS')</script>. Wenn du das einfach so ausgibst, führt der Browser das Skript aus. Eine Katastrophe! Hier kommen htmlspecialchars() und htmlentities() ins Spiel. Aber jede Funktion arbeitet anders.

Was haben htmlspecialchars() und htmlentities() gemeinsam?

Beide Funktionen wandeln spezielle HTML-Zeichen in ihre HTML-Entitäten um. Zum Beispiel:

\n
• & (Kaufmanns-Und) → &
\n
• < (Kleiner-als) → <
\n
• > (Größer-als) → >
\n
• " (doppeltes Anführungszeichen) → "
\n
• ' (einfaches Anführungszeichen) → ' (oder ' je nach Flag)
\n

Ohne sie würde jede Eingabe mit spitzen Klammern oder Kaufmanns-Und das Layout zerstören oder Hackern Tür und Tor öffnen.

Der Hauptunterschied: Umfang der Umwandlung

Hier liegt das Geheimnis. htmlspecialchars() ist der sparsame Kämpfer. Es wandelt nur die fünf wichtigsten Zeichen um, die eine direkte Bedeutung in HTML haben:

\n
• & → &
\n
• < → <
\n
• > → >
\n
• " → "
\n
• ' → ' (wenn das Flag ENT_QUOTES gesetzt ist)
\n

htmlentities() hingegen ist der Perfektionist. Es wandelt alle Zeichen um, für die es HTML-Entitäten gibt. Das sind nicht nur spitze Klammern, sondern auch Währungssymbole (€, £, ¥), mathematische Zeichen (∑, ∂), Buchstaben mit Diakritika (é, ñ, ü) und sogar Emojis (☺).

Einfaches Beispiel: Der Unterschied in der Praxis

Schauen wir uns den Code an. Angenommen, wir haben einen String mit französischem Text:

<?php\n$text = "Café & thé <script>alert('test')</script>";\necho "htmlspecialchars: " . htmlspecialchars($text, ENT_QUOTES, 'UTF-8') . "<br>";\necho "htmlentities: " . htmlentities($text, ENT_QUOTES, 'UTF-8');\n?>

Ergebnis:

htmlspecialchars: Café & thé <script>alert('test')</script>\nhtmlentities: Café & thé <script>alert('test')</script>

In diesem Beispiel gibt es keinen Unterschied, weil die Zeichen "é" und andere lateinische Buchstaben keine spezielle Bedeutung in HTML haben. Aber versuchen wir es mit Zeichen, die Entitäten haben:

<?php\n$text = "€ 100 <b>fett</b>";\necho "htmlspecialchars: " . htmlspecialchars($text, ENT_QUOTES, 'UTF-8') . "<br>";\necho "htmlentities: " . htmlentities($text, ENT_QUOTES, 'UTF-8');\n?>

Ergebnis:

htmlspecialchars: € 100 <b>fett</b>\nhtmlentities: &euro; 100 <b>fett</b>

Siehst du? htmlentities() hat das Eurozeichen "€" in seine Entität € umgewandelt. htmlspecialchars() hat es unverändert gelassen. Warum? Weil "€" kein gefährliches Zeichen für HTML ist – der Browser zeigt es auch ohne Escaping korrekt an.

Wann sollte man htmlspecialchars() verwenden?

Das ist deine Standardwahl. Verwende htmlspecialchars() in 99% der Fälle, wenn du Benutzereingaben ausgibst. Es ist schneller, speichersparender und erfüllt seinen Zweck perfekt: Es verhindert XSS-Angriffe, indem es die wirklich gefährlichen Zeichen escapet.