cakephp で echo する変数全部に htmlspecialchars で囲みますか？

Question

タイトルのとおりです

cakephp で 変数を echo するときは 全部の変数に対して h() をしますか？

例えば

echo '<td><a href="'.h($link).'" target="_blank" rel=”nofollow”>'.h($title).'</a></td>';

こういった html で囲まれてる時も 変数を echo するときは 全部に h() をするのでしょうか？

ご教授よろしくお願いします。

Answer 1

html で囲まれてる時も

「html で囲まれている時」というのが、なにのことを指しているのかわかりませんが、

h() しなくてもいい特別な理由がない限り h() します。

記載されているコードには h() しなくてもいい特別な理由が見当たらないので h() をするべきだろうと思われます。

Comments

[hogetail]

ご回答ありがとうございます。

>記載されているコードには h() しなくてもいい特別な理由が見当たらないので

こちらはどういうケースが想定されますか？

[ngyuki]

たとえば HTML として出力したい場合です。
フォームの入力で HTML の入力が許容されている場合、h() のような関数を通さない場合もあります。

[hogetail]

ご回答ありがとうございます。

なるほど、、、例えばこのサイトのフォームもそうですね。
盲点、灯台下暗しでした。

勉強になります。
ありがとうございました。