htmlspecialcharsは不正な文字エンコーディングをどこまでチェックするか

補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2009年9月30日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり このエントリでは、PHPのhtmlspecialchars関数の第三パラメータ（文字エンコーディング指定）により、どこまで文字エンコーディングの妥当性チェックをしているかを報告します。 2007年4月に、寺田氏(id:teracc)の素晴らしいエントリ「htmlspecialcharsと不正な文字の話」により、htmlspecialcharsは、第三パラメータの文字コードを実質的に無視しており、不正な文字エンコーディングが指定された場合、その文字はチェックされずにすり抜けてしまうという結果が報告されています。

[hnw]

ちなみに、PHP 5.2.12/PHP5.3.2以降、このエントリで指摘されている例は全て通らなくなってます。参照：http://d.hatena.ne.jp/t_komura/20091220/1261305551

[tmatsuu]

【急募】htmlspecialcharsの第3引数のcharsetはちゃんと指定しなきゃダメよ、という資料の英語版。要は @ckeghem さんの

[mumincacao]

念のため指定はするとしてもけっきょくえんこ～どちぇっくは専門のひとに処理してもらいましょうってことかなぁ．．．〆（・ｘ・。【みかん

[yuaaa]

意識ねえ。関数の挙動を信頼せずに自前でなんとかするのが正着な気がするなあ。phpに関しては。

[IwamotoTakashi]

そして、PHP6でチェックロジックが削除されるという話はデマだったと。

[fukken]

htmlspecialcharsに文字コードまで渡す事で、半端ではあるがセキュリティ的に問題のなさそうなレベルまでエンコーディングをなんとかしてくれる

[ockeghem]

htmlspecialcharsはPHP5.2.5以降で不正な文字エンコーディングをある程度チェックするようになりました