Blade: definire una variabile e stampare HTML senza XSS

Due esigenze tornano di continuo in una vista Blade: dichiararvi una variabile e decidere se il suo contenuto vada escapato o reso così com’è. La seconda non è un dettaglio di comodità, è il punto esatto in cui si introduce una falla XSS.

Pubblicato nel percorso Sviluppo web. Questa guida copre entrambi gli aspetti: far arrivare una variabile nella vista, dichiararne una sul posto e scegliere tra {{ }} e {!! !!} con cognizione di causa. Esempi eseguiti su Laravel 13.30.1 con PHP 8.4.25.

Passare una variabile dal controller

È la via normale, quella da preferire: la vista mostra, il controller decide. Il secondo argomento di view() è un array associativo in cui ogni chiave diventa una variabile.

return view('dashboard', ['name' => 'Gekko']);

<p>Bienvenue {{ $name }} !</p>

Per stampare una data che arriva da un modello, vedi la gestione delle date con Carbon.

Se le variabili sono già in variabili PHP, compact() evita di ripeterne i nomi:

$name    = 'Gekko';
$reseau  = 'gekkode';

return view('dashboard', compact('name', 'reseau'));

with() permette di aggiungerne una al volo, comodo quando il valore si calcola all’ultimo momento:

return view('dashboard', compact('name'))->with('extra', 'valeur ajoutée');

Se una variabile può mancare, dalle un valore di ripiego nella vista invece di aggiungere una condizione:

{{ $inconnu ?? 'valeur par défaut' }}

Dichiarare una variabile direttamente nella vista

Quando il valore serve solo alla visualizzazione, la direttiva @php permette di dichiararlo sul posto:

@php
    $nom = 'Gekko';
    $classe = $task->active ? 'is-active' : 'is-done';
@endphp

<p class="{{ $classe }}">Bonjour {{ $nom }}</p>

Funzionano anche i tag PHP classici, ma @php resta più leggibile e più coerente con il resto del template.

Due direttive coprono i casi vicini senza passare da una variabile. @class costruisce un attributo di classe a partire da alcune condizioni:

<div @class(['actif' => $task->active, 'masque' => $task->hidden])></div>

<!-- rendu quand active vaut true et hidden false -->
<div class="actif"></div>

E @once garantisce che un blocco venga reso una volta sola, anche se la vista è inclusa più volte nella pagina:

@once
    <script src="/js/carte.js" defer></script>
@endonce

Stampare HTML: {{ }} contro {!! !!}

Blade compila {{ $variable }} in una chiamata alla funzione e(), che esegue l’escape dei caratteri speciali. Si vede nella vista compilata, sotto storage/framework/views:

<?php echo e($nom); ?>

Conseguenza: se la variabile contiene dei tag, questi compaiono per esteso invece di essere interpretati.

@php $html = '<strong>gras</strong>'; @endphp

{{ $html }}     {{-- affiche : &lt;strong&gt;gras&lt;/strong&gt; --}}
{!! $html !!}   {{-- affiche : gras, en gras --}}

La sintassi {!! !!} inserisce il valore senza alcuna trasformazione. È quello che serve per stampare il corpo di un articolo scritto in HTML, ed è anche la porta d’ingresso di un’iniezione di script se il valore arriva da un utente.

Per un contenuto che arriva da un form, che avrai avuto cura di proteggere dagli invii automatizzati, ripulisci prima di stampare. Una libreria come HTML Purifier applica una whitelist di tag, in alternativa, salva del Markdown e convertilo al momento del rendering, così resti tu a decidere quali tag vengono prodotti.

I casi particolari utili

Per passare dei dati a del JavaScript, @json produce un literal valido e già escapato:

<script>
    const config = @json(['id' => $task->id, 'titre' => $task->title]);
</script>

Per stampare delle graffe senza che Blade le interpreti, per esempio in un template destinato a un framework JavaScript, @verbatim neutralizza l’intero blocco:

@verbatim
    <div id="app">{{ message }}</div>
@endverbatim

Per una sola espressione basta farla precedere da una chiocciola: @{{ message }}.