Blade: Variable definieren und HTML ohne XSS-Lücke ausgeben

Zwei Bedürfnisse tauchen in einer Blade-View immer wieder auf: dort eine Variable zu deklarieren und zu entscheiden, ob ihr Inhalt escaped oder unverändert ausgegeben wird. Das Zweite ist keine Komfortfrage, sondern genau die Stelle, an der eine XSS-Lücke entsteht.

Erschienen im Themenpfad Webentwicklung. Dieser Leitfaden deckt beides ab: eine Variable in die View bringen, eine direkt vor Ort deklarieren und bewusst zwischen {{ }} und {!! !!} wählen. Die Beispiele liefen auf Laravel 13.30.1 mit PHP 8.4.25.

Eine Variable aus dem Controller übergeben

Das ist der normale Weg und der, den du bevorzugen solltest: Die View zeigt an, der Controller entscheidet. Das zweite Argument von view() ist ein assoziatives Array, dessen Schlüssel jeweils zu einer Variablen werden.

return view('dashboard', ['name' => 'Gekko']);

<p>Bienvenue {{ $name }} !</p>

Wie du ein Datum aus einem Model ausgibst, steht unter Datumsverarbeitung mit Carbon.

Liegen mehrere Werte bereits in PHP-Variablen, erspart dir compact() das Wiederholen der Namen:

$name    = 'Gekko';
$reseau  = 'gekkode';

return view('dashboard', compact('name', 'reseau'));

Mit with() hängst du unterwegs noch eine an, praktisch, wenn sich der Wert erst im letzten Moment ergibt:

return view('dashboard', compact('name'))->with('extra', 'valeur ajoutée');

Kann eine Variable fehlen, gib ihr in der View einen Fallback-Wert, statt eine Bedingung zu ergänzen:

{{ $inconnu ?? 'valeur par défaut' }}

Eine Variable direkt in der View deklarieren

Dient der Wert nur der Anzeige, deklarierst du ihn mit der Direktive @php an Ort und Stelle:

@php
    $nom = 'Gekko';
    $classe = $task->active ? 'is-active' : 'is-done';
@endphp

<p class="{{ $classe }}">Bonjour {{ $nom }}</p>

Die klassischen PHP-Tags funktionieren ebenfalls, aber @php bleibt lesbarer und passt zum Rest des Templates.

Zwei Direktiven decken benachbarte Fälle ab, ganz ohne Variable. @class baut ein Klassenattribut aus Bedingungen:

<div @class(['actif' => $task->active, 'masque' => $task->hidden])></div>

<!-- rendu quand active vaut true et hidden false -->
<div class="actif"></div>

Und @once stellt sicher, dass ein Block nur einmal gerendert wird, selbst wenn die View mehrfach in die Seite eingebunden ist:

@once
    <script src="/js/carte.js" defer></script>
@endonce

HTML ausgeben: {{ }} gegen {!! !!}

Blade kompiliert {{ $variable }} zu einem Aufruf der Funktion e(), die Sonderzeichen escaped. Zu sehen ist das in der kompilierten View unter storage/framework/views:

<?php echo e($nom); ?>

Die Folge: Enthält die Variable Tags, erscheinen sie ausgeschrieben, statt interpretiert zu werden.

@php $html = '<strong>gras</strong>'; @endphp

{{ $html }}     {{-- affiche : &lt;strong&gt;gras&lt;/strong&gt; --}}
{!! $html !!}   {{-- affiche : gras, en gras --}}

Die Syntax {!! !!} fügt den Wert ohne jede Umwandlung ein. Genau das brauchst du, um einen in HTML verfassten Artikeltext auszugeben, und genau das ist auch die Eintrittstür für eine Script-Injection, wenn der Wert von einem Nutzer stammt.

Bei Inhalten aus einem Formular, das du zuvor gegen automatisierte Einsendungen abgesichert hast, bereinigst du vor der Ausgabe. Eine Bibliothek wie HTML Purifier wendet eine Whitelist erlaubter Tags an, andernfalls speicherst du Markdown und wandelst es beim Rendern um, womit du die erzeugten Tags unter Kontrolle behältst.

Die nützlichen Sonderfälle

Um Daten an JavaScript zu übergeben, erzeugt @json ein gültiges, escaptes Literal:

<script>
    const config = @json(['id' => $task->id, 'titre' => $task->title]);
</script>

Um geschweifte Klammern auszugeben, ohne dass Blade sie interpretiert, etwa in einem Template für ein JavaScript-Framework, entschärft @verbatim den gesamten Block:

@verbatim
    <div id="app">{{ message }}</div>
@endverbatim

Bei einem einzelnen Ausdruck genügt ein vorangestelltes At-Zeichen: @{{ message }}.