Escape- und Codierfunktionen im Vergleich (Thema: PHP Beispiele)

1. Übersicht

PHP bietet fünf nennenswerte Funktionen zum Escapen und Encoden von Strings. Diese lauten:

• htmlentities($string): Encodiert alle Zeichen im String für die es passende HTML-Entities gibt (haben jeweils einen Aufbau der Art &beispiel; oder &#1234;). Dies betrifft insbesondere die HTML-Steuerungszeichen „<” und „>”. htmlentitites() sollte immer auf Benutzereingaben vor deren Ausgabe angewendet werden.
• htmlspecialchars($string): Encodiert die HTML-Steuerungszeichen „<”, „>”, „"” (doppelte Anführungszeichen), „'” (einfache Anführungszeichen) und „&” (kaufmännisches Und). (Die einfachen Anführungszeichen werden nur codiert, wenn als zweiter Parameter das Flag ENT_QUOTES übergeben wird.) htmlspecialchars() codiert also letztlich eine kleine Teilmenge aller Zeichen, die auch von htmlentities() codiert werden. In der Regel sollte daher htmlentities() bevorzugt werden.
• addslashes($string): Diese Funktion escapet alle einfachen und doppelten Anführungszeichen, sowie alle Backslashes indem sie wiederum ein Backslash vor diesen einfügt. Entsprechend wird zum Beispiel aus dem Zeichen " (doppeltes Anführungszeichen) ein \" (Backslash + doppeltes Anführungszeichen). Aus einem Backslash (\) werden zwei (\\). addslashes() kann teilweise genutzt werden, um Strings vorzubereiten, welche in JavaScript verwendet werden sollen. Mitunter wird die Funktion benutzt, um Daten zu escapen, die an MySql gesendet werden. Für diesen Vorgang sollte allerdings bevorzugt mysql_real_escape_string() Anwendung finden, welche speziell dafür konzipiert wurde.
• urlencode($string): Sollen Strings mit unbekannten Inhalt in URLs verwendet werden, dann ist es ratsam, die zuvor mit urlencode() zu encodieren. Die Funktion ersetzt Sonderzeichen, die nicht in URLs erlaubt sind oder die in diesen spezielle Bedeutung haben, durch ein Prozentzeichen mit ihrem anschließenden Hexadezimalwert. So würde ein Slash (/) zu „%2F” encodiert werden.
• rawurlencode($string): Funktioniert genauso wie urlencode() mit einem wesentlichen Unterschied: Während urlencode() jedes Leerzeichen zu „+” umwandelt, macht rawurlencode() daraus „%20”. Die Umwandlung vom Leerzeichen zu Plus bei urlencode() hat rein historische Gründe. rawurlencode() ist dementsprechend die „sauberere” Funktion. Seit PHP 5.3.0 gibt es zudem eine weitere kleine Abweichung zwischen den beiden Funktionen: rawurlencode() encodiert nun nicht mehr die Tilde (~), urlencode() macht dies nach wie vor.

2. Tabelle

In der nachfolgenden Tabelle werden die genannten Funktionen gegenüber gestellt. Aufgelistet werden alle ASCII-Zeichen von 1 bis 255, jeweils mit Nummer und zugehörigem Zeichen. (Das Zeichen zur Nummer kann über chr($nummer) bestimmt werden.) Zu jedem Zeichen $chr werden die Ergebnisse von htmlentities($chr), htmlspecialchars($chr), addslashes($chr), urlencode($chr) und rawurlencode($chr) gezeigt. Blau markierte Zellen unterstreichen, dass das ursprüngliche Zeichen von der jeweiligen Funktion abgeändert wurde.

3. Skript zur Tabelle

Das Skript zur Erzeugung der Tabelle ist eher trivial. Es wird mit einer foreach-Schleife ein mal über die Zahlen von 1 bis 255 iteriert (eine for-Schleife wäre hier genauso denkbar). Zu jeder dieser Zahlen $x wird jeweils das ASCII-Zeichen anhand von chr($x) bestimmt. Nacheinander werden die Funktionen htmlentities, htmlspecialchars, addslashes, urlencode und rawurlencode angewendet und deren Rückgaben gespeichert. Mit einem schlichten Vergleich über den Operator „===” kann festgestellt werden, ob das jeweilige Ergebnis von $chr abweicht. Falls ja wird die Tabellenzelle mit einer passenden CSS-Klasse markiert, sodass sie eingefärbt werden kann.

<table id="php-escape-and-encode-functions">
	<thead>
		<tr>
			<th>x</th>
			<th>chr(x)</th>
			<th>htmlentities</th>
			<th>htmlspecialchars</th>
			<th>addslashes</th>
			<th>urlencode</th>
			<th>rawurlencode</th>
		</tr>
	</thead>
	<tbody>
		<?php foreach (range(1, 255) as $x): ?>
			<?php
				$chr = chr($x);
				$htmlentities = htmlentities($chr);
				$htmlspecialchars = htmlspecialchars($chr);
				$addslashes = addslashes($chr);
				$urlencode = urlencode($chr);
				$rawurlencode = rawurlencode($chr);
				
				$htmlentitiesClass = ($htmlentities===$chr ? '' : 'changed');
				$htmlspecialcharsClass = ($htmlspecialchars===$chr ? '' : 'changed');
				$addslashesClass = ($addslashes===$chr ? '' : 'changed');
				$urlencodeClass = ($urlencode===$chr ? '' : 'changed');
				$rawurlencodeClass = ($rawurlencode===$chr ? '' : 'changed');
			?>
			<tr>
				<td><?php echo $x; ?></td>
				<td><?php echo htmlentities($chr); ?></td>
				<td class="<?php echo $htmlentitiesClass; ?>"><?php echo htmlentities($htmlentities); ?></td>
				<td class="<?php echo $htmlspecialcharsClass; ?>"><?php echo htmlentities($htmlspecialchars); ?></td>
				<td class="<?php echo $addslashesClass; ?>"><?php echo htmlentities($addslashes); ?></td>
				<td class="<?php echo $urlencodeClass; ?>"><?php echo htmlentities($urlencode); ?></td>
				<td class="<?php echo $rawurlencodeClass; ?>"><?php echo htmlentities($rawurlencode); ?></td>
			</tr>
		<?php endforeach; ?>
	</tbody>
</table>