Blade: zmienne w widoku i bezpieczne wyświetlanie HTML-a

W widoku Blade wracają bez przerwy dwie potrzeby: zadeklarować w nim zmienną i zdecydować, czy jej treść ma być escapowana, czy wstawiona bez zmian. To drugie nie jest szczegółem wygody, tylko miejscem, w którym wprowadza się lukę XSS.

Opublikowane w ścieżce Programowanie webowe. Ten przewodnik obejmuje jedno i drugie: jak doprowadzić zmienną do widoku, jak zadeklarować ją na miejscu i jak świadomie wybrać między {{ }} a {!! !!}. Przykłady wykonane na Laravelu 13.30.1 z PHP 8.4.25.

Przekazanie zmiennej z kontrolera

To normalna droga i ta, którą warto wybierać: widok wyświetla, kontroler decyduje. Drugi argument view() to tablica asocjacyjna, w której każdy klucz staje się zmienną.

return view('dashboard', ['name' => 'Gekko']);

<p>Bienvenue {{ $name }} !</p>

O wyświetlaniu daty pochodzącej z modelu przeczytasz w tekście o obsłudze dat z Carbonem.

Przy kilku wartościach, które siedzą już w zmiennych PHP, compact() oszczędza powtarzania nazw:

$name    = 'Gekko';
$reseau  = 'gekkode';

return view('dashboard', compact('name', 'reseau'));

with() pozwala dorzucić jedną po drodze, co jest wygodne, kiedy wartość liczy się w ostatniej chwili:

return view('dashboard', compact('name'))->with('extra', 'valeur ajoutée');

Jeśli zmiennej może zabraknąć, daj jej w widoku wartość zapasową, zamiast dokładać warunek:

{{ $inconnu ?? 'valeur par défaut' }}

Deklaracja zmiennej bezpośrednio w widoku

Kiedy wartość służy wyłącznie do wyświetlenia, dyrektywa @php pozwala zadeklarować ją na miejscu:

@php
    $nom = 'Gekko';
    $classe = $task->active ? 'is-active' : 'is-done';
@endphp

<p class="{{ $classe }}">Bonjour {{ $nom }}</p>

Klasyczne znaczniki PHP też działają, ale @php jest czytelniejsze i spójne z resztą szablonu.

Dwie dyrektywy obsługują sąsiednie przypadki bez udziału zmiennej. @class buduje atrybut klasy na podstawie warunków:

<div @class(['actif' => $task->active, 'masque' => $task->hidden])></div>

<!-- rendu quand active vaut true et hidden false -->
<div class="actif"></div>

A @once gwarantuje, że blok wyrenderuje się tylko raz, nawet jeśli widok jest dołączony na stronie kilka razy:

@once
    <script src="/js/carte.js" defer></script>
@endonce

Wyświetlanie HTML-a: {{ }} kontra {!! !!}

Blade kompiluje {{ $variable }} do wywołania funkcji e(), która escapuje znaki specjalne. Widać to w skompilowanym widoku, w storage/framework/views:

<?php echo e($nom); ?>

Skutek: jeśli zmienna zawiera znaczniki, wyświetlą się dosłownie, zamiast zostać zinterpretowane.

@php $html = '<strong>gras</strong>'; @endphp

{{ $html }}     {{-- affiche : &lt;strong&gt;gras&lt;/strong&gt; --}}
{!! $html !!}   {{-- affiche : gras, en gras --}}

Składnia {!! !!} wstawia wartość bez żadnego przekształcenia. Tego właśnie trzeba, żeby wyświetlić treść artykułu napisaną w HTML-u, i to samo jest furtką do wstrzyknięcia skryptu, kiedy wartość pochodzi od użytkownika.

Treść przychodzącą z formularza, który wcześniej zabezpieczysz przed automatycznymi wysyłkami, wyczyść przed wyświetleniem. Biblioteka w rodzaju HTML Purifier stosuje białą listę znaczników, w jej braku przechowuj Markdown i konwertuj go przy renderowaniu, co zostawia ci kontrolę nad wygenerowanymi znacznikami.

Przydatne przypadki szczególne

Do przekazania danych do JavaScriptu @json tworzy poprawny i escapowany literał:

<script>
    const config = @json(['id' => $task->id, 'titre' => $task->title]);
</script>

Żeby wyświetlić klamry, których Blade nie ma interpretować, na przykład w szablonie przeznaczonym dla frameworka JavaScript, @verbatim neutralizuje cały blok:

@verbatim
    <div id="app">{{ message }}</div>
@endverbatim

Przy pojedynczym wyrażeniu wystarczy poprzedzić je małpą: @{{ message }}.