Wordpress「update_post_meta」のセキュリティ強化

Question

前提

WordpressでPHPを使って記事にカスタムフィールドを追加するために、update_post_metaを使っています。

###実現したいこと
セキュリティ強化のため入力値のホワイトリストを作りたいです。

ホワイトリストは下記ソースコードの$listsです。
ここにあるURLが送信されたときだけ、カスタムフィールドにそのURLを登録したいです。

しかし、ホワイトリストにないものまで登録されてしまったり、なかなかうまくいかない状況なので、質問させて頂きました。

該当のソースコード

ユーザーがフロントエンドで入力するformのテンプレートに下記を記載してます。修正点を教えて頂ければ幸いです。お詳しい方、宜しくお願い致します。

	$input_url = $_POST['input_url'];
	$lists = [
		'^http?://example.com/[^/]{10}$',
		'^http?://example.net/[^/]{20}$'		
	];
	foreach ( $lists as $list ){
		if( @preg_match( '|'.$list.'|', $input_url ) ) {
			if ( isset($_POST) && $_POST['input_url']!='' ) {
				update_post_meta( $post_id, 'input_url', $_POST['input_url'] );
			}
		}
	}

###環境
PHPは最新で、Wordpressは4.9.4です。

Comments

[CHERRY]

このPHPスクリプトは、どのファイルにどのように記載したのでしょうか？

Answer 1

セキュリティ強化のため入力値のホワイトリストを作りたいです。

投稿内容を精査するのであれば、plugin として作るのがきれいだと思います。

ただ、

ホワイトリストは下記ソースコードの$listsです。

なのであれば、select 使って、value を数字で投稿→サーバ側でマッピングするほうがシンプルな作りになるように思います。
select でドメイン名を選択させ、ディレクトリ部分を自由入力させるパターンですね。
どっちが UX 的に良いサイトなのか不明ですが、参考まで。

Comments

[mac_mac]

URLはコピペでまるごと貼られると思うので、selectでというのは考えていなかったです。またなんでも教えて下さい。ありがとうございます。