CakePHP3にて。セキュリティ対策の１つである、h()は１つ１つ記述していますか？

Question

みなさんは
CakePHP3にて、h()は１つ１つ記述されていますか？

つけ忘れを防ぐため、できればset()などで一括してつけたいなあと思うのですが、
CakePHP2と違ってオブジェクトが混ざっているため
上手くいかないところがあります。

１つ１つh()を記述してない方は、
どのような方法で一括処理していますか？

Answer 1

twig のようなテンプレートエンジンを導入するのもいいと思います（デフォルトですべてエスケープされます）。ですが、基本的には、毎回 出力する場所 にて h() を使うことで、漏れを確実に防げるものですので、常に出力時につけたほうがよいと思います。
そう続けていると、ついていない場合に気持ち悪く感じるようになり、漏れを防ぐ感覚が育っていきますし、set() の層でエスケープしてしまうと、 PHPUnit するときに面倒になります。

Comments

[kururi10]

Teradaさん、ご回答いただきありがとうございます！
PHPUnitは今は使っていないのですが、今後使おうと思っていたので
大変参考になりました。
ありがとうございます！