' . esc_attr( $commentaire_utilisateur ) . '
'; // Correct pour ce contexte echo '' . esc_html( $commentaire_utilisateur ) . '
'; ``` Dans ce premier cas, `esc_attr()` échappe correctement les guillemets, mais son comportement sur certains caractères diffère légèrement de celui attendu pour un contenu texte libre. Le résultat s'affiche presque toujours correctement à l'œil, ce qui rend l'erreur difficile à détecter en relecture visuelle — elle ne saute aux yeux que lors d'un audit de sécurité ciblé ou d'un test d'intrusion. ## L'inverse est tout aussi problématique ``` // Incorrect : esc_html() utilisée pour un attribut echo ''; // Correct pour un attribut echo ''; ``` Ici, le risque est plus direct : `esc_html()` n'échappe pas systématiquement tous les guillemets doubles de la même manière qu'`esc_attr()`, ce qui peut, selon la valeur injectée, permettre de sortir prématurément de l'attribut et d'ajouter un attribut supplémentaire, voire un gestionnaire d'événement, à l'élément HTML. ## Panorama des fonctions selon le contexte | Contexte de sortie | Fonction correcte | Erreur fréquente | | --- | --- | --- | | Texte entre deux balises | `esc_html()` | Utiliser `esc_attr()` | | Valeur d'un attribut HTML | `esc_attr()` | Utiliser `esc_html()` | | URL dans un attribut `href` ou `src` | `esc_url()` | Utiliser `esc_attr()` seule | | Bloc de JavaScript inline | `esc_js()` | Utiliser `esc_html()` | | Contenu HTML riche autorisé | `wp_kses_post()` | Aucun échappement du tout | ## Ce qu'il faut retenir pour éviter l'erreur La règle la plus fiable ne consiste pas à mémoriser des cas particuliers, mais à se poser une seule question à chaque ligne d'affichage : où, précisément, cette donnée atterrit-elle dans le HTML généré ? À l'intérieur d'une balise ouvrante et fermante, entre guillemets d'un attribut, dans une URL, ou dans un bloc de script. La réponse détermine la fonction, sans exception. - Ne jamais choisir une fonction d'échappement par habitude, mais par contexte de sortie. - Ne jamais réutiliser une valeur déjà échappée pour un autre contexte sans la ré-échapper correctement. - Toujours tester avec une valeur contenant des guillemets et des chevrons, pas seulement du texte ordinaire. > Un code qui échappe systématiquement, même mal, donne un faux sentiment de sécurité bien plus dangereux qu'une absence totale d'échappement, repérée immédiatement lors d'une relecture. ## En résumé Un échappement mal apparié à son contexte reste, à l'œil, indiscernable d'un échappement correct. La seule protection réelle consiste à connaître précisément ce que chaque fonction native attend en entrée et où elle est censée être utilisée en sortie, puis à appliquer cette règle systématiquement, sans raccourci, sur chaque donnée affichée.