特殊文字を HTML エンティティに変換する

# htmlspecialchars

(PHP 4, PHP 5, PHP 7, PHP 8)

htmlspecialchars — 特殊文字を HTML エンティティに変換する

### 説明

function htmlspecialchars(
string `$string`,
int `$flags` = ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401,
?string `$encoding` = `null`,
bool `$double_encode` = `true`
): string

文字の中には HTML において特殊な意味を持つものがあり、 それらの本来の値を表示したければ HTML の表現形式に変換してやらなければなりません。 この関数は、これらの変換を行った結果の文字列を返します。 入力文字列の中で名前付きエンティティに関連づけられたものを すべて変換する必要がある場合には、代わりに htmlentities() を使用してください。

この関数への入力文字列と最終的なドキュメントとの間で文字セットが一致している場合は、 この関数を使えば HTML ドキュメントに組み込むための準備として十分です。 しかし、この関数への入力の中に、最終的なドキュメントの文字セットでは符号化できない文字がある場合もあります。 そんな文字も (数値エンティティや名前つきエンティティなどで) 残したい場合は、 この関数と htmlentities() (これは、名前付きエンティティに対応する文字しか置換しません) を使うだけでは不十分です。そんな場合は mb_encode_numericentity() を使う必要があります。

変換対象となる文字
変換前 | 変換後
--- | ---
`&` (アンパサンド) | `&amp;`
`"` (ダブルクォート) | `ENT_NOQUOTES` が指定されていない場合、`&quot;`
`'` (シングルクォート) | `&#039;` (`ENT_HTML401` の場合) あるいは `&apos;` ( `ENT_XML1`、`ENT_XHTML`、 `ENT_HTML5` の場合)。ただし `ENT_QUOTES` が指定されている場合に限る
`<` (小なり) | `&lt;`
`>` (大なり) | `&gt;`

### パラメータ

`string`

  変換される文字列。

`flags`

  以下のフラグを組み合わせたビットマスクです。 クォートや無効な符号単位シーケンス、そして文書型の扱いを指定します。 デフォルトは `ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401` です。

  利用可能な `flags` 定数
  定数名 | 説明
  --- | ---
  `ENT_COMPAT` | ダブルクオートは変換しますがシングルクオートは変換しません。
  `ENT_QUOTES` | シングルクオートとダブルクオートを共に変換します。
  `ENT_NOQUOTES` | シングルクオートとダブルクオートは共に変換されません。
  `ENT_IGNORE` | 無効な符号単位シーケンスを含む文字列を渡したときに、 空の文字列を返すのではなく無効な部分を切り捨てるようになります。 このフラグは使わないようにしましょう。 » セキュリティの問題が発生する可能性があります。
  `ENT_SUBSTITUTE` | 無効な符号単位シーケンスを含む文字列を渡したときに、 空の文字列を返すのではなく Unicode の置換文字に置き換えます。 UTF-8 の場合は U+FFFD、それ以外の場合は &#xFFFD; となります。
  `ENT_DISALLOWED` | 指定した文書型において無効な符号位置を、Unicode の代替文字である U+FFFD (UTF-8) あるいは &#xFFFD; で置き換えます。 これを設定しなければ、無効な符号位置をそのまま残します。 これは、外部コンテンツを埋め込んだ XML 文書を整形式に保つために有用です。
  `ENT_HTML401` | コードを HTML 4.01 として処理します。
  `ENT_XML1` | コードを XML 1 として処理します。
  `ENT_XHTML` | コードを XHTML として処理します。
  `ENT_HTML5` | コードを HTML 5 として処理します。

`encoding`
  オプションの引数。文字を変換するときに使うエンコーディングを定義します。 省略した場合の `encoding` のデフォルト値は、 default_charset の値を使います。 技術的にはこの引数を省略可能ですが、 default_charset の指定が入力とは違う文字セットになっている可能性もあるので、 適切な値を指定しておくことを強く推奨します。

  この関数を使ううえでは `ISO-8859-1` と `ISO-8859-15`、 `UTF-8`、`cp866`、 `cp1251`、`cp1252` そして `KOI8-R` は事実上同等です。 `string` 自体がそのエンコーディングにおける有効な文字列である限り、 これらのエンコーディングでは htmlspecialchars() の影響が及ぶ文字がみな同じ位置にあるからです。

  以下の文字セットをサポートします。

  サポートする文字セット
  文字セット | エイリアス | 説明
  --- | --- | ---
  ISO-8859-1 | ISO8859-1 | 西欧、Latin-1
  ISO-8859-5 | ISO8859-5 | ほとんど使われないキリル文字セット (Latin/Cyrillic)。
  ISO-8859-15 | ISO8859-15 | 西欧、Latin-9 。Latin-1(ISO-8859-1) に欠けている ユーロ記号やフランス・フィンランドの文字を追加したもの。
  UTF-8 |  | ASCII 互換のマルチバイト 8 ビット Unicode 。
  cp866 | ibm866, 866 | DOS 固有のキリル文字セット。
  cp1251 | Windows-1251, win-1251, 1251 | Windows 固有のキリル文字セット。
  cp1252 | Windows-1252, 1252 | 西欧のための Windows 固有の文字セット。
  KOI8-R | koi8-ru, koi8r | ロシア語。
  BIG5 | 950 | 繁体字中国語。主に台湾で使用されます。
  GB2312 | 936 | 簡体字中国語。国の標準文字セットです。
  BIG5-HKSCS |  | Big5 に香港の拡張を含めたもの。繁体字中国語。
  Shift_JIS | SJIS, SJIS-win, cp932, 932 | 日本語。
  EUC-JP | EUCJP, eucJP-win | 日本語。
  MacRoman |  | Mac OS で使われる文字セット。
  `''` |  | 空文字列を指定すると、 スクリプトのエンコーディング (Zend multibyte)、 default_charset、 そして現在のロケール (nl_langinfo() および setlocale() を参照ください) の順でエンコーディングを検出します。 この方法はおすすめしません。

  > 注意: これら以外の文字セットは理解できません。 かわりにデフォルトのエンコーディングを使用し、警告を発生させます。

`double_encode`

  `double_encode` をオフにすると、PHP は既存の html エンティティをエンコードしません。 デフォルトでは、既存のエンティティも含めてすべてを変換します。

### 戻り値

変換後の文字列を返します。

入力の `string` の中に エンコーディング `encoding` における無効なコードユニットシーケンスが含まれており、 かつ `ENT_IGNORE` フラグが設定されていなければ、 htmlspecialchars() は空文字列を返します。

### 変更履歴

バージョン | 説明
--- | ---
8.1.0 | `flags` のデフォルト値が `ENT_COMPAT` から `ENT_QUOTES` | `ENT_SUBSTITUTE` | `ENT_HTML401` に変更されました。

### 例

例1 htmlspecialchars() の例

    <?php
    $new = htmlspecialchars("<a href='test'>Test</a>", ENT_QUOTES);
    echo $new; // &lt;a href=&#039;test&#039;&gt;Test&lt;/a&gt;
    ?>

### 注意

> 注意:

> この関数は上記のあげたもの以外に関しては一切の変換を行わないことに注意してください。 すべての変換を行うには htmlentities() を参照ください。

> 注意:

> `flags` の値が曖昧な場合、以下のルールが適用されます:

> - `ENT_COMPAT`, `ENT_QUOTES`, `ENT_NOQUOTES` のいずれも存在しない場合、 デフォルトは `ENT_NOQUOTES` になります。
> - `ENT_COMPAT`, `ENT_QUOTES`, `ENT_NOQUOTES` のうちひとつ以上が存在する場合、 `ENT_QUOTES` がもっとも優先度が高くなり、 その後に `ENT_COMPAT` が続きます。
> - `ENT_HTML401`, `ENT_HTML5`, `ENT_XHTML`, `ENT_XML1` のいずれも存在しなければ、 デフォルトは `ENT_HTML401` になります。
> - `ENT_HTML401`, `ENT_HTML5`, `ENT_XHTML`, `ENT_XML1` のうちひとつ以上が存在している場合、 `ENT_HTML5` が最も優先度が高くなり、 `ENT_XHTML`, `ENT_XML1` そして `ENT_HTML401` の順に続きます。
> - `ENT_DISALLOWED`, `ENT_IGNORE`, `ENT_SUBSTITUTE` のうち、ひとつ以上が存在している場合、 `ENT_IGNORE` の優先度がもっとも高くなり、 `ENT_SUBSTITUTE` がその後に続きます。

### 参考

- get_html_translation_table() - htmlspecialchars および htmlentities で使用される変換テーブルを返す
- htmlspecialchars_decode() - 特殊な HTML エンティティを文字に戻す
- strip_tags() - 文字列から HTML および PHP タグを取り除く
- htmlentities() - 適用可能な文字を全て HTML エンティティに変換する
- nl2br() - 改行文字の前に HTML の改行タグを挿入する

`↑` and `↓` to navigate • `Enter` to select • `Esc` to close • `/` to open