Hace poco conocí la función string_tags la cual por lo visto hace lo mismo que htmlspacialchars, pero me queda la duda de si es mejor usar strip_tags
o htmlspacialchars
.
1 respuesta
Respuesta más específica
La función que existe concretamente para eso es htmlspecialchars
, según el Manual de PHP:
Ciertos caracteres tienen un significado especial en HTML y deben ser representados por entidades HTML si se desea preservar su significado. Esta función devuelve un string con estas conversiones realizadas. Si se requiere que todas las subcadenas de entrada tengan asociadas entidades con nombre para que sean traducidas, use
htmlentities()
en su lugar.
El manual nunca habla de strip_tags
como alternativa en caso de ciertos problemas que podrían presentarse, sino que habla de mb_encode_numericentity()
:
Si el string de entrada pasado a esta función y el documento final comparten el mismo conjunto de carcteres, esta función es suficiente para preparar entradas para su inclusión en la mayoría de los contextos de un documento HTML. Sin embargo, si la entrada puede representar caracteres que no están codificados en el conjunto de caracteres del documento final, y es necesario conservar dichos caracteres (tales como números o entidades con nombre), esta función y
htmlentities()
(la cual solamente codifica subcadenas que tienen equivalentes de entidades con nombre) podrían ser insuficientes. Se podria usarmb_encode_numericentity()
en su lugar.
En el Manual podemos leer dos advertencias sobre strip_tags
, por las que se puede deducir con toda claridad que esta función no está dedicada a sanear las entradas:
Debido a que
strip_tags()
en realidad no valida el HTML, etiquetas parciales o rotas, pueden resultar en la eliminación de más texto/datos de lo que se espera.Esta función no modifica los atributos de las etiquetas que se permitan mediante
allowable_tags
, incluyendo los los atributosstyle
yonmouseover
que un usuario malicioso puede abusar al postear texto que se mostrará a otros usuarios.
Respuesta más general
De acuerdo a lo que voy leyendo por ahí, me parece que hay muchos mitos sobre la forma de prevenir la inyección de código.
Primeramente, no hay una forma mágica de prevenir tal inyección. Lo que mejor funciona es aplicar en cada contexto los mejores métodos que existan de prevención, los cuales no serán siempre los mismos.
Hay pruebas(1) por ejemplo de que escapando los caracteres tú puedes tener una inyección SQL si pasas los valores directamente a la consulta en el manejador de bases de datos.
Hace ya unos años se hizo esta pregunta en SO en inglés: What's the best method for sanitizing user input with PHP?. La respuesta aceptada, con una amplia acogida en aquella comunidad, aborda el problema de una forma más o menos global.
Me permito traducirla aquí, porque es la mejor respuesta que he leído al mito muy repandido de filtrar datos a diestra y siniestra:
Es un concepto erróneo común que la entrada del usuario se puede filtrar. PHP incluso tiene una "característica" (ahora en desuso), llamada citas mágicas (magic quotes), que se basa en esta idea. No tiene sentido. Olvídate de filtrar (o limpiar, o como lo llamen las personas).
Lo que debes hacer para evitar problemas es bastante simple: cada vez que insertas una cadena dentro de un código extraño, debes escapar de ella, de acuerdo con las reglas de ese lenguaje. Por ejemplo, si insertas una cadena en algún SQL dirigido a MySql, debes escapar de la cadena con la función de MySql para este propósito (
mysqli_real_escape_string
). (O, en el caso de las bases de datos, usar declaraciones preparadas es un mejor enfoque, cuando sea posible).Otro ejemplo es HTML: si incrustas cadenas dentro de HTML, debes escapar con
htmlspecialchars
. Esto significa que cada declaración deecho
ohtmlspecialchars
.Un tercer ejemplo podría ser comandos de shell: si vas a incrustar cadenas (como argumentos) a comandos externos y llamarlos con
exec
, entonces debes usarescapeshellcmd
yescapeshellarg
.Y así sucesivamente y así sucesivamente ...
El único caso en el que necesitas filtrar datos de forma activa es si aceptas una entrada preformateada. Por ejemplo si permites que tus usuarios publiquen contenido HTML, que planeas mostrar en el sitio. Sin embargo, debes ser prudente evitar esto a toda costa, ya que no importa qué tan bien lo filtre, siempre será un agujero de seguridad potencial.
(1) Yo traté el tema ampliamente en esta respuesta. Allí se demuestra con ejemplos concretos que, dadas ciertas condiciones, el escape de caracteres no sirve para evitar la Inyección SQL.
-
Muchas gracias.– user71043Commented el 11 ene. 2018 a las 19:57
tags
y la otra los convierte en entidades. ¿Te interesa ver el texto tal cual fue ingresado o no?