1

Hace poco conocí la función string_tags la cual por lo visto hace lo mismo que htmlspacialchars, pero me queda la duda de si es mejor usar strip_tags o htmlspacialchars.

5
  • ¿Podrías indicar para qué fines?
    – A. Cedano
    Commented el 11 ene. 2018 a las 18:49
  • Para evitar inyecciones de código, ya sea de html, javascript, php.
    – user71043
    Commented el 11 ene. 2018 a las 18:49
  • Depende... una elimina los tags y la otra los convierte en entidades. ¿Te interesa ver el texto tal cual fue ingresado o no?
    – Marcos
    Commented el 11 ene. 2018 a las 19:11
  • Preferiblemente no
    – user71043
    Commented el 11 ene. 2018 a las 19:19
  • 1
    La funciones no hacen lo mismo, por lo que considero que para una mejor respuesta es necesario que indiques en tu pregunta los resultados que esperas obtener para distintos escenarios.
    – Marcos
    Commented el 11 ene. 2018 a las 19:56

1 respuesta 1

0

Respuesta más específica

La función que existe concretamente para eso es htmlspecialchars, según el Manual de PHP:

Ciertos caracteres tienen un significado especial en HTML y deben ser representados por entidades HTML si se desea preservar su significado. Esta función devuelve un string con estas conversiones realizadas. Si se requiere que todas las subcadenas de entrada tengan asociadas entidades con nombre para que sean traducidas, use htmlentities() en su lugar.

El manual nunca habla de strip_tags como alternativa en caso de ciertos problemas que podrían presentarse, sino que habla de mb_encode_numericentity():

Si el string de entrada pasado a esta función y el documento final comparten el mismo conjunto de carcteres, esta función es suficiente para preparar entradas para su inclusión en la mayoría de los contextos de un documento HTML. Sin embargo, si la entrada puede representar caracteres que no están codificados en el conjunto de caracteres del documento final, y es necesario conservar dichos caracteres (tales como números o entidades con nombre), esta función y htmlentities() (la cual solamente codifica subcadenas que tienen equivalentes de entidades con nombre) podrían ser insuficientes. Se podria usar mb_encode_numericentity() en su lugar.

htmlspecialchars en el Manual de PHP

En el Manual podemos leer dos advertencias sobre strip_tags, por las que se puede deducir con toda claridad que esta función no está dedicada a sanear las entradas:

  • Debido a que strip_tags() en realidad no valida el HTML, etiquetas parciales o rotas, pueden resultar en la eliminación de más texto/datos de lo que se espera.

  • Esta función no modifica los atributos de las etiquetas que se permitan mediante allowable_tags, incluyendo los los atributos style y onmouseover que un usuario malicioso puede abusar al postear texto que se mostrará a otros usuarios.

Notas sobre strip_tags en el Manual de PHP


Respuesta más general

De acuerdo a lo que voy leyendo por ahí, me parece que hay muchos mitos sobre la forma de prevenir la inyección de código.

Primeramente, no hay una forma mágica de prevenir tal inyección. Lo que mejor funciona es aplicar en cada contexto los mejores métodos que existan de prevención, los cuales no serán siempre los mismos.

Hay pruebas(1) por ejemplo de que escapando los caracteres tú puedes tener una inyección SQL si pasas los valores directamente a la consulta en el manejador de bases de datos.

Hace ya unos años se hizo esta pregunta en SO en inglés: What's the best method for sanitizing user input with PHP?. La respuesta aceptada, con una amplia acogida en aquella comunidad, aborda el problema de una forma más o menos global.

Me permito traducirla aquí, porque es la mejor respuesta que he leído al mito muy repandido de filtrar datos a diestra y siniestra:

Es un concepto erróneo común que la entrada del usuario se puede filtrar. PHP incluso tiene una "característica" (ahora en desuso), llamada citas mágicas (magic quotes), que se basa en esta idea. No tiene sentido. Olvídate de filtrar (o limpiar, o como lo llamen las personas).

  • Lo que debes hacer para evitar problemas es bastante simple: cada vez que insertas una cadena dentro de un código extraño, debes escapar de ella, de acuerdo con las reglas de ese lenguaje. Por ejemplo, si insertas una cadena en algún SQL dirigido a MySql, debes escapar de la cadena con la función de MySql para este propósito (mysqli_real_escape_string). (O, en el caso de las bases de datos, usar declaraciones preparadas es un mejor enfoque, cuando sea posible).

  • Otro ejemplo es HTML: si incrustas cadenas dentro de HTML, debes escapar con htmlspecialchars. Esto significa que cada declaración de echo o print debe usar htmlspecialchars.

  • Un tercer ejemplo podría ser comandos de shell: si vas a incrustar cadenas (como argumentos) a comandos externos y llamarlos con exec, entonces debes usar escapeshellcmd y escapeshellarg.

Y así sucesivamente y así sucesivamente ...

El único caso en el que necesitas filtrar datos de forma activa es si aceptas una entrada preformateada. Por ejemplo si permites que tus usuarios publiquen contenido HTML, que planeas mostrar en el sitio. Sin embargo, debes ser prudente evitar esto a toda costa, ya que no importa qué tan bien lo filtre, siempre será un agujero de seguridad potencial.


(1) Yo traté el tema ampliamente en esta respuesta. Allí se demuestra con ejemplos concretos que, dadas ciertas condiciones, el escape de caracteres no sirve para evitar la Inyección SQL.

1
  • Muchas gracias.
    – user71043
    Commented el 11 ene. 2018 a las 19:57

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.