The example for "htmlspecialchars_decode()" below sadly does not work for all PHP4 versions.
Quote from the PHP manual:
"get_html_translation_table() will return the translation table that is used internally for htmlspecialchars() and htmlentities()."
But it does NOT! At least not for PHP version 4.4.2.
This was already reported in a bug report (http://bugs.php.net/bug.php?id=25927), but it was marked as BOGUS.
Proof:
Code:
--------------------
<?php
var_dump(get_html_translation_table(HTML_SPECIALCHARS,ENT_QUOTES));
var_dump(htmlspecialchars('\'',ENT_QUOTES));
?>
--------------------
Output:
--------------------
array
'"' => '"'
''' => '''
'<' => '<'
'>' => '>'
'&' => '&'
'''
--------------------
This comment now is not to report this bug again (though I really believe it is one), but to complete the example and warn people of this pitfall.
To make sure your htmlspecialchars_decode fake for PHP4 works, you should do something like this:
<?php
function htmlspecialchars_decode($string,$style=ENT_COMPAT)
{
$translation = array_flip(get_html_translation_table(HTML_SPECIALCHARS,$style));
if($style === ENT_QUOTES){ $translation['''] = '\''; }
return strtr($string,$translation);
}
?>
Br, Thomas
htmlspecialchars_decode
(PHP 5 >= 5.1.0, PHP 7, PHP 8)
htmlspecialchars_decode — 特殊な HTML エンティティを文字に戻す
説明
htmlspecialchars_decode(string
$string, int $flags = ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401): stringこの関数は htmlspecialchars() の反対です。 特殊な HTML エンティティを文字に戻します。
変換されるエンティティは次のものです。&、
" (ENT_NOQUOTES が設定されていない場合)、
' (ENT_QUOTES が設定されている場合)、
< および >。
パラメータ
-
string -
デコードする文字列。
-
flags -
以下のフラグのビットマスクによる組み合わせで、クォートの扱いやドキュメントの形式を指定します。 デフォルトは
ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401です。使用可能な flags定数定数名 説明 ENT_COMPATダブルクォートを変換し、シングルクォートはそのままにします。 ENT_QUOTESダブルクォート、シングルクォートの両方を変換します。 ENT_NOQUOTESダブルクォート、シングルクォートの両方をそのままにします。 ENT_SUBSTITUTE無効な符号単位シーケンスを含む文字列を渡したときに、 空の文字列を返すのではなく Unicode の置換文字に置き換えます。 UTF-8 の場合は U+FFFD、それ以外の場合は &#FFFD; となります。 ENT_HTML401コードを HTML 4.01 として処理します。 ENT_XML1コードを XML 1 として処理します。 ENT_XHTMLコードを XHTML として処理します。 ENT_HTML5コードを HTML 5 として処理します。
戻り値
デコードされた文字列を返します。
変更履歴
| バージョン | 説明 |
|---|---|
| 8.1.0 |
flags のデフォルト値が
ENT_COMPAT から
ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401
に変更されました。
|
例
例1 htmlspecialchars_decode() の例
<?php
$str = "<p>this -> "</p>\n";
echo htmlspecialchars_decode($str);
// クォートが変換されないことに注意しましょう
echo htmlspecialchars_decode($str, ENT_NOQUOTES);
?>上の例の出力は以下となります。
<p>this -> "</p> <p>this -> "</p>
参考
- htmlspecialchars() - 特殊文字を HTML エンティティに変換する
- html_entity_decode() - HTML エンティティを対応する文字に変換する
- get_html_translation_table() - htmlspecialchars および htmlentities で使用される変換テーブルを返す
add a note
User Contributed Notes 8 notes
thomas at xci[ignore_this]teit dot commm ¶
16 years ago
Anonymous ¶
18 years ago
This should be the best way to do it.
(Reposted because the other one seems a bit slower and because those who used the code under called it htmlspecialchars_decode_php4)
<?php
if ( !function_exists('htmlspecialchars_decode') )
{
function htmlspecialchars_decode($text)
{
return strtr($text, array_flip(get_html_translation_table(HTML_SPECIALCHARS)));
}
}
?>
or-k at or-k dot com ¶
19 years ago
that works also with ä and " and so on.
get_html_translation_table(HTML_ENTITIES) => offers more characters than HTML_SPECIALCHARS
function htmlspecialchars_decode_PHP4($uSTR)
{
return strtr($uSTR, array_flip(get_html_translation_table(HTML_ENTITIES, ENT_QUOTES)));
}
pinkgothic at gmail dot com ¶
14 years ago
Keep in mind that you should never trust user input - particularly for "mixed-bag" input containing a combination of plain text and markup or scripting code.
Why?
Well, consider someone sending '&<script>alert('XSS');</script>' to your PHP script:
<?php
$var = "&<script>alert('XSS');</script>";
$var = (htmlspecialchars_decode($var) == $var) ? htmlspecialchars($var) : $var;
echo $var;
?>
Since '&' decodes into '&', (htmlspecialchars_decode($var) == $var) will be -false-, thus returning $var without that it's escaped. In consequence, the script-tags are untouched, and you've just opened yourself to XSS.
There is, unfortunately, no reliable way to determine whether HTML is escaped or not that does not come with this caveat that I know of. Rather than try and catch the case 'I've already encoded this', you are better off avoiding double-escaping by simply escaping the HTML as close to the actual output as you can muster, e.g. in the view in an MVC development structure.
geoffers@gmail ¶
19 years ago
[Update of previous note, having noticed I forgot to put in quote style]
PHP4 Compatible function:
<?php
function htmlspecialchars_decode_php4 ($str, $quote_style = ENT_COMPAT) {
return strtr($str, array_flip(get_html_translation_table(HTML_SPECIALCHARS, $quote_style)));
}
?>
benharold at mac dot com ¶
15 years ago
If you use `htmlspecialchars()` to change things like the ampersand (&) into it's HTML equivalent (&), you might run into a situation where you mistakenly pass the same string to the function twice, resulting in things appearing on your website like, as I call it, the ampersanded amp; "&". Clearly nobody want's "&" on his or her web page where there is supposed to be just an ampersand. Here's a quick and easy trick to make sure this doesn't happen:
<?php
$var = "This is a string that could be passed to htmlspecialchars multiple times.";
if (htmlspecialchars_decode($var) == $var) {
$var = htmlspecialchars($var);
}
echo $var;
?>
Now, if your dealing with text that is a mixed bag (has HTML entities and non-HTML entities) you're on your own.
benharold at mac dot com ¶
15 years ago
or of course:
<?php
$var = "Blue & yellow make green.";
$var = (htmlspecialchars_decode($var) == $var) ? htmlspecialchars($var) : $var;
echo $var; // outputs Blue & yellow make green.
// you can do it a bunch of times, it still won't screw you!
$var = (htmlspecialchars_decode($var) == $var) ? htmlspecialchars($var) : $var;
$var = (htmlspecialchars_decode($var) == $var) ? htmlspecialchars($var) : $var;
echo $var; // still outputs Blue & yellow make green.
?>
Put it in a function. Add it to the method of some abstract data class.
geoffers at gmail dot com ¶
19 years ago
For PHP4 Compatibility:
<?php
function htmlspecialchars_decode_php4 ($str) {
return strtr($str, array_flip(get_html_translation_table(HTML_SPECIALCHARS)));
}
?>
