【Laravel】{{ ('文字列') }}と{{ __( '文字列') }}の違い、formのactionもhtmlエスケープした方がいいのか

Question

質問1
make:authで作られるファイルに、{{ __('文字列') }}というのがあったので、{{ ('文字列') }}と何が違うのか知りたいです。

//プロジェクト名\resources\views\auth\register.blade.php

@extends('layouts.app')

@section('content')
<div class="container">
    <div class="row justify-content-center">
        <div class="col-md-8">
            <div class="card">
                <div class="card-header">{{ __('Register') }}</div>

                <div class="card-body">
                    <form method="POST" action="{{ route('register') }}">
                        @csrf

                        <div class="form-group row">
                            <label for="name" class="col-md-4 col-form-label text-md-right">{{ __('Name') }}</label>

                            <div class="col-md-6">
                                <input id="name" type="text" class="form-control @error('name') is-invalid @enderror" name="name" value="{{ old('name') }}" required autocomplete="name" autofocus>

                                @error('name')
                                    <span class="invalid-feedback" role="alert">
                                        <strong>{{ $message }}</strong>
                                    </span>
                                @enderror
                            </div>
                        </div>

                        <div class="form-group row">
                            <label for="email" class="col-md-4 col-form-label text-md-right">{{ __('E-Mail Address') }}</label>

                            <div class="col-md-6">
                                <input id="email" type="email" class="form-control @error('email') is-invalid @enderror" name="email" value="{{ old('email') }}" required autocomplete="email">

                                @error('email')
                                    <span class="invalid-feedback" role="alert">
                                        <strong>{{ $message }}</strong>
                                    </span>
                                @enderror
                            </div>
                        </div>

                        <div class="form-group row">
                            <label for="password" class="col-md-4 col-form-label text-md-right">{{ __('Password') }}</label>

                            <div class="col-md-6">
                                <input id="password" type="password" class="form-control @error('password') is-invalid @enderror" name="password" required autocomplete="new-password">

                                @error('password')
                                    <span class="invalid-feedback" role="alert">
                                        <strong>{{ $message }}</strong>
                                    </span>
                                @enderror
                            </div>
                        </div>

                        <div class="form-group row">
                            <label for="password-confirm" class="col-md-4 col-form-label text-md-right">{{ __('Confirm Password') }}</label>

                            <div class="col-md-6">
                                <input id="password-confirm" type="password" class="form-control" name="password_confirmation" required autocomplete="new-password">
                            </div>
                        </div>

                        <div class="form-group row mb-0">
                            <div class="col-md-6 offset-md-4">
                                <button type="submit" class="btn btn-primary">
                                    {{ __('Register') }} ここです
                                </button>
                            </div>
                        </div>
                    </form>
                </div>
            </div>
        </div>
    </div>
</div>
@endsection

質問2
Laravelのviewで、

パターン1: <form method="POST" action="URL">

パターン2: <form method="POST" action="{{ url('URL') }}">

どちらの書き方がセキュリティ的には好ましいですか？
おそらくパターン2の方が好ましいと思いますが、そこまで気にしなくてもいいですか？
パターン1で書いているサイトもあれば、パターン2で書いているサイトもあるので。

Comments

[m.ts10806]

1のほう、見つけたところに解説はなかったのですか？どこで見つけたのでしょう？出典明示してください。
ドキュメントに何も説明なかったですか？

[yor13]

ソースコードを載せました

[yor13]

ドキュメントも見たのですが、自分が調べた範囲では説明がありませんでした。

[m.ts10806]

あの、「出典」なので、見つけた場所、記事URLなど提示してもらえたらと。
単にコードだけだと「意味はわからないけど使ってみてる自分のコードを解説してほしい」みたいな依頼になってしまいます。

[yor13]

載せたソースコードは、make:authというコマンドで作られるファイルです。自分のコードではないです。

[m.ts10806]

でしたら、その旨記載いただけたらと。

Answer 1

LaravelのAuthのviewで{{ __('文字列') }}というのがあったので、{{ ('文字列') }}と何が違うのか知りたいです。

公式ドキュメント日本語訳 5.8

翻訳に通すか、直で表示するかの違いです。
公式ではないですが、日本語訳版にも書いてあります。

6.x、5.8ともにこの部分に関しては書いてある内容に大差はないです。（見落としてるかもしれませんが

どちらの書き方が好ましいですか？

おそらくパターン2の方が好ましいと思いますが、そこまで気にしなくてもいいですか？
パターン1で書いているサイトもあれば、パターン2で書いているサイトもあるので。

これに関しては完全に要件次第です。

Comments

[yor13]

セキュリティ的にはどちらでも問題ないですか？

[kyoya0819]

どういう観点でのセキュリティですか？

[yor13]

質問2の方です

[yor13]

xssの対策です

[yor13]

自己解決しました。

[m.ts10806]

XSS気にされるならそういう文字列をURLとして指定してみたら良いのでは…。

Answer 2

__()は翻訳。
https://readouble.com/laravel/7.x/ja/helpers.html#method-__
これはLaravelではなく、もっと昔からの慣習。WordPress・CakePHP・Symfonyにもある。

url()でもなくroute()使うことが多い。
url()使ってもあまり変わらないけどroute()だと変わる。
サイト内の構成を変える=URLを変えることはたまにあるけどroute()で使っていればviewの変更は少ない。