htmlentities() vs htmlspecialchars() : le combat des fonctions PHP

htmlentities() vs. htmlspecialchars() : guide détaillé avec exemples

Vous êtes-vous déjà demandé pourquoi PHP a deux fonctions qui font, semble-t-il, la même chose ? htmlentities() et htmlspecialchars() sont comme deux frères jumeaux : semblables en apparence, mais avec des caractères différents. Et le choix entre elles peut devenir soit une compétence de super-héros, soit une source de maux de tête.

Si vous avez déjà posé cette question sur Stack Overflow (et ils sont des milliers !), vous savez que la réponse n'est pas toujours évidente. Aujourd'hui, nous allons une fois pour toutes comprendre à quoi sert chaque fonction, quand les utiliser, et comment ne pas se tromper avec les encodages.

C'est parti !

Que font exactement ces fonctions ?

Les deux fonctions sont conçues pour l'échappement des caractères HTML. En termes simples : elles transforment les caractères spéciaux en leurs entités HTML, afin que le navigateur les affiche comme du texte et ne les interprète pas comme du code.

Par exemple, le caractère < se transforme en <. Ceci est crucial pour :

\n
• La sécurité — protection contre les attaques XSS (cross-site scripting)
\n
• L'affichage correct — pour que votre texte ne « casse » pas le balisage HTML
\n

Mais voici le piège : htmlspecialchars() ne fonctionne qu'avec quatre caractères, tandis que htmlentities() fonctionne avec toutes les entités HTML connues.

htmlspecialchars() : l'artillerie légère

La fonction htmlspecialchars() ne transforme que ces caractères :

\n
• & (esperluette) → &
\n
• " (guillemet double) → " (si le drapeau ENT_NOQUOTES n'est pas défini)
\n
• ' (guillemet simple) → ' (si le drapeau ENT_QUOTES est défini)
\n
• < (inférieur) → <
\n
• > (supérieur) → >
\n

Cet ensemble est suffisant dans 99% des cas. Pourquoi ? Parce que seuls ces caractères ont une signification spéciale dans le balisage HTML et peuvent casser votre page.

<?php\n$user_input = '<script>alert("XSS")</script>';\necho htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');\n// Affichera : &lt;script&gt;alert(&quot;XSS&quot;)&lt;/script&gt;\n?>

htmlentities() : la cavalerie lourde

htmlentities() est ce perfectionniste qui transforme en entités tous les caractères ayant un équivalent HTML. Par exemple, les symboles monétaires (€, £, ¥), les signes mathématiques (∑, ∞, √) et même les flèches (←, ↑).

<?php\n$text = 'Prix : 50€';\necho htmlentities($text, ENT_QUOTES, 'UTF-8');\n// Affichera : Prix : 50&euro;\n?>

Cela semble pratique, n'est-ce pas ? Mais il y a un hic — la performance. htmlentities() est plus lente car elle traite plus de caractères. Et si votre site traite des milliers de lignes, la différence devient notable.

La différence clé : l'encodage

Et c'est ici que nous arrivons au point le plus important. Les deux fonctions acceptent un troisième paramètre — l'encodage. Et si vous ne le spécifiez pas, PHP utilisera la valeur de la directive default_charset dans php.ini (généralement UTF-8).

Mais htmlentities() est particulièrement sensible à l'encodage. Si vous spécifiez un mauvais encodage, la fonction peut transformer les caractères de manière incorrecte. Par exemple, avec ISO-8859-1, certains caractères UTF-8 seront perdus.

<?php\n// Mauvais exemple : encodage non spécifié\necho htmlentities('Bonjour, le monde !'); // Peut générer un avertissement\n\n// Bon exemple : spécifiez toujours l'encodage\necho htmlentities('Bonjour, le monde !', ENT_QUOTES, 'UTF-8');\n?>

Quand utiliser quoi ?