Escapování - definitivní příručka

Největší programátorský evergreen jsou zmatky a nejasnosti kolem escapování. Neznalost způsobuje, že nejtriviálnější metody narušení webových stránek, jako je Cross Site Scripting (XSS) nebo SQL injection, patří mezi nejrozšířenější.

Escapování je převod znaků majících v daném kontextu speciální význam na jiné odpovídající sekvence.

Jak na escapování?

Každá escapovací funkce předpokládá, že vstupem je vždy surový řetězec v určité znakové sadě (kódování).

Ale pozor: PHP obsahuje historický relikt nazývaný magic quotes. Pokud jsou magic quotes aktivní, PHP při spuštění automaticky zavolá nad téměř všemi vstupními řetězci v superglobálních polích funkci addslashes. Magic quotes vznikly na základě chybného předpokladu, nemají žádný přínos, ba právě naopak: pozmění vstupní řetězce a tím je poškodí pro další zpracování. V novějších verzích PHP budou magic quotes odstraněny. Zatím je nutné je vypínat (např. požádat hostera o vypnutí) nebo povinně na začátku spouštěného skriptu zavolat tento kód, který způsobené změny zvrátí.

S jakými kontexty se setkáváme?

Pro každý kontext se používají jiné escapovací funkce. Tato tabulka je pouze orientační, je nutné si přečíst poznámky níže.

kontext	escapovací funkce	reverzní funkce
HTML	htmlspecialchars	html_entity_de­code
XML	htmlspecialchars	—
regulární výraz	preg_quote	—
PHP řetězce	var_export	—
MySQL databáze	mysql_real_es­cape_string	—
MySQL improved	mysqli_real_es­cape_string	—
SQLite databáze	sqlite_escape_string	—
PostgreSQL databáze	pg_escape_string	—
PostgreSQL, typ bytea	pg_escape_bytea	pg_unescape_bytea
JavaScript, JSON	json_encode	json_decode
CSS	addcslashes	—
URL	rawurlencode	urldecode

Vysvětlení k následujícím poznámkám:

• řada kontextů má své podkontexty a v nich se escapování liší. Nebude-li řečeno jinak, je uvedená escapovací funkce použitelná plošně bez dalšího rozlišování podkontextů.
• pod pojmem obvyklá znaková sada se rozumí 1bajtové nebo UTF-8 kódování

HTML

V HTML kontextech mají souhrnně speciální význam znaky < & " ' a odpovídající sekvence jsou < & " '. Výjimkou je HTML komentář, kde má speciální význam jen dvojice --. K escapování se používá:

htmlspecialchar­s($s, ENT_QUOTES)

Funguje s libovolnou obvyklou znakovou sadou, jiné je třeba konzultovat s manuálem. Ale pozor, tato funkce nezohledňuje podkontext HTML komentářů.

Reverzní funkce může plnohodnotně fungovat pouze se znakovou sadou UTF-8 a to pod PHP 5:

html_entity_de­code($s, ENT_QUOTES, 'UTF-8')

XML / XHTML

XML 1.0 se od HTML liší v tom, že zakazuje použití kontrolních znaků C0 (a to včetně zápisu v podobě entity) s výjimkou tabulátoru, odřádkování a mezery. XML 1.1 tyto zakázané znaky s výjimkou NUL v podobě entit naopak povoluje a dále přikazuje kontrolní znaky C1 s výjimkou NEL taktéž zapisovat jako entity. Dále v XML má speciální význam sekvence ]]>, proto je třeba jeden z těchto znaků také escapovat.

Pro XML 1.0 a libovolnou obvyklou znakovou sadu tak lze použít (zdroj © Nette Framework):

htmlspecialchar­s(preg_replace('#[\x00-\x08\x0B\x0C\x0E-\x1F]+#', '', $s), ENT_QUOTES)

Regulární výraz

V Perlových regulárních výrazech mají souhrnně speciální význam znaky . \ + * ? [ ^ ] $ ( ) { } = ! < > | : a tzv. delimiter, což je znak ohraničující regulární výraz (např. pro výraz '#[a-z]+#i' je to #). Escapuje se znakem \.

preg_quote($s, $delimiter)

Kódování musí být buď 1bajtové nebo UTF-8, podle modifikátoru v regulárním výrazu. Viz také Escapování v regulárních výrazech.

PHP řetězce

PHP rozlišuje dva typy řetězců:

• v jednoduchých uvozovkách a NOWDOC, kde speciální význam mohou mít znaky \ '
• ve dvojitých uvozovkách a HEREDOC, kde speciální význam mohou mít znaky \ " $

Escapuje se znakem \. To obvykle provádí programátor při psaní kódu, pro generátory PHP lze využít funkci var_export.

Poznámka: protože zmíněné regulární výrazy se většinou zapisují jako PHP řetězce, je potřeba zkombinovat obě escapování. Např. znak \ se pro regulární výraz zapíše jako \\ a v PHP souboru je třeba psát \\\\. Viz také Regulární korektura Intervalu.cz.

SQL a databáze

Každá databáze má svou vlastní escapovací funkci, viz tabulka výše. Žádná z těchto funkcí neescapuje zástupné znaky používané v konstrukcích LIKE (v MySQL jde o znaky % _). Databáze nevyžadují žádné výstupní odstranění escapování! (S výjimkou např. typu bytea.)

Neobvyklou vícebajtovou znakovou sadu je nutné v MySQL nastavit funkcí mysql_set_charset resp. mysqli_set_char­set.

Doporučuji používat databázový layer (např. dibi, PDO), který escapování obstará automaticky za vás.

JavaScript, JSON

Jakožto programovací jazyk má řadu velmi odlišných podkontextů. K escapování řetězců lze využít vedlejší efekt funkce

json_encode((strin­g) $s)

která však řetězec obalí do uvozovek. Striktně vyžaduje znakovou sadu UTF-8.

JavaScript uvnitř HTML atributů je nutné ještě escapovat podle HTML pravidel, což však neplatí pro JavaScript uvnitř značek <script>. Zde se využívá vlastnosti JSON escapovat lomítko (forward slash), takže ošetří případnou koncovou značku </script> v řetězci. Neošetří však konec HTML komentáře --> (což v HTML nevadí) nebo XML bloku CDATA ]]>, do kterého se skript obaluje. Řešením by bylo

str_replace(']]>', ']]\x3E', json_encode($s))

Jelikož JSON využívá podmnožinu syntaxe JavaScriptu, je reverzní funkce json_decode použitelná jen omezeně.

CSS

V CSS kontextech je rozsah platných znaků přesně vymezen, pro escapování identifikátorů lze použít například tuto funkci (zdroj © Nette Framework):

addcslashes($s, "\x00..\x2C./:;<=>?@[\\]^`{|}~")

Pro CSS uvnitř HTML kódu platí totéž, co bylo řečeno o JavaScriptu. Uvnitř HTML atributu style je nutné ještě escapovat podle HTML pravidel, uvnitř značek <style> nikoliv.

URL

V kontextu URL se escapují všechny znaky kromě písmen anglické abecedy, číslic a znaků - _ . nahrazením za % + hexadecimálně vyjádřený bajt.

rawurlencode($s)

Podle RFC 2718 (z roku 1999) nebo RFC 3986 (z roku 2005) je preferována znaková sada UTF-8.

Reverzní funkcí je v tomto případě urldecode, která rozeznává i znak + s významem mezery.

---

Všimněte si, že nebyl zmíněn žádný kontext, kde by se využily funkce addslashes nebo stripslashes – zapomeňte na ně!

Pokud se vám zdá celá problematika příliš složitá, nezoufejte. Brzy přijdete na to, že jde vlastně o jednoduché tranformace a celý trik spočívá v uvědomění, v jakém kontextu se nacházím a jakou musím pro něj zvolit funkci. Nebo ještě lépe, zkuste použít inteligentní šablonovací systém, který dokáže kontexty rozeznat sám a použít správné escapování: Nette\Template.

'preg_match('.var_export('...'.preg_quote($string).'...').', $subject)'

$html = '<span style="color: #000;" class=\'notice\'></span><!-- <div>comment</div> -->';
echo htmlspecialchars($html, ENT_QUOTES);
// &lt;span style=&quot;color: #000;&quot; class=&#039;notice&#039;&gt;&lt;/span&gt;&lt;!-- &lt;div&gt;comment&lt;/div&gt; --&gt;

echo '<!-- ', htmlspecialchars($s), ' -->';

echo 'text<!-- ' . htmlspecialchars('comment -->', ENT_QUOTES) . ' -->text';