エスケープ漏れその他

miya0001 commented 6 years ago

たまたま目についたのでつっこみを。笑

[x] バリデーション漏れ。公式ディレクトリ上のWordPressプラグインのスラッグには半角英数とハイフォンしか使えない（？）と思われるので、正規表現等でそのようにチェックするべき。これはかなりやばい。笑

[x] wp-に続く文字は半角英数以外（？）を想定する必要が無いのでは？この正規表現ではスラッシュも含めたすべての文字を通してしまうので、その後の file_put_contents() で任意のファイルをぶっ壊すことができる可能性があります。（実際にできるかどうかではなく、そういう心配をしなくてもいいようにするべき。）

エスケープは実際にそれが必要かどうかに関係なく使うシチュエーションにあわせてとりあえずやると決めるのが良いです。たとえばHTMLの属性に使うなら esc_attr() 、リンクに使用する URL なら esc_url() などのように利用目的に応じて問答無用でエスケープするのがよいです。

あとファイルに書き込むとかファイルを読み込むとかする場合は、特に慎重にやったほうがいいです。 https://ja.wikipedia.org/wiki/%E3%83%87%E3%82%A3%E3%83%AC%E3%82%AF%E3%83%88%E3%83%AA%E3%83%88%E3%83%A9%E3%83%90%E3%83%BC%E3%82%B5%E3%83%AB

mayukojpn commented 6 years ago

@miya0001 わかりやすくありがとうございます！直してみます！

mayukojpn commented 4 years ago

Escaping is my pain point that I haven't studied enough. 😭 Thanks for helping!

mayukojpn / force-update-translations