ブログ記事のコンテンツをデータベースに登録する際にはHTML文字列を登録するのか？

Question

簡易的なブログシステムをプログラミング学習を兼ねて構築しようと考えております。

一般的なブログの投稿画面を見ると、ブログ記事を入力するエリアにhtmlタグで直接、マークアップ出来たりするものや、このteratailのようにmarkdownでマークアップできるようなUIを備えているものをよく見かけます。

そこで、質問なのですが、ブログ記事のコンテンツ部分をDBに登録する際には、どういった形式でコンテンツを登録するのでしょうか？

HTMLタグをブログ記事投稿画面で使えるUIの場合は、HTMLタグをエスケープしつつも、HTMLでマークアップされた文章を丸ごとDBに登録するのでしょうか？

Markdownでマークアップされている場合はどうでしょうか？マークダウンでマークアップされた文章をDBに登録するのか、それとも、HTMLにマークダウンを変換して、その上で文章をDBに登録するのでしょうか？

DBにHTMLタグでマークアップされた文章を登録するということは、そのコンテンツを受け取るクライアント側がHTMLを受け取る前提になってしまうので、ブラウザーであれネイティブアプリであれ、クライアントがなんであっても対応できるように、DBには素の文章のみを登録するかたちにしておいた方が良いのでしょうか？(環境に依存する改行コードすら入れないとか）

Answer 1

ユーザの立場になって考えてみてください。
0. それなりの考えに基づいたマークアップを記事を書く。アップ。保存。
0. 後になってその記事に追記・修正をしようとする。

このとき、自分の入力したものから勝手にマークアップが消されていたり、markdownで入れたものが勝手にhtmlに変換されていたりしたらかなり困りませんか。となればDBには少なくとも「ユーザが入力したもの」がそのまま保存されているべきでしょう。

これとは別にプレーンテキスト化されたものや他の書式に変換されたものをDBに入れておくか否かは、目的や状況によると思います。

Answer 2

通常

# header

| th | th |
|:---|:---|
| td | td |

のように入力したまま登録されてます。
※ SQLインジェクションにならないように適宜エスケープ

Comments

[退会済みユーザー]

ご回答ありがとうございます。ということは、ブログの投稿データを返すRest APIがあった場合、あるブログ記事をGETで取得しようとすると、返ってくるJSONデータがそういったmarkdown形式のテキストだったり、html形式のテキストのjson文字列ということになりますか？

Answer 3

markdown は便利ですが、HTML への変換が必要になります。プログラミング学習の目的であれば、まずは HTML を出し入れするアプリを完成させるのがよいと思います。それから、完成したアプリに自分で攻撃してみて、セキュリティのことを考えていくといいでしょう。モチベーションも維持できるのではないでしょうか。

DB とクライアントの話をされていますが、基本的にクライアントがやり取りをするのはアプリのサーバーで、アプリのサーバーが DB とやり取りをするのではないでしょうか？データの形式は、そのアプリのサーバーが扱いやすいように決めるのがいいでしょう。

タグの名前と属性と子要素があれば HTML にできますから、 JSON もいいですね。HTML の曖昧さがないので解析しやすく、テキスト部分が明確でエスケープもしやすいと思います。また、記事が長いなら、段落単位で保存するという手もあります。

{
  "type": "p",
  "attrs": {"style": "text-align:center"},
  "children": [
    "Hello!",
    {
      "type": "span",
      "attrs": {"style": "color:red"},
      "children": ["World!"]
    }
  ]
}

<p style="text-align:center">Hello!<span style="color:red">World!</p>