Wordpressのリンクエスケープについて

Question

Wordpressでリンクをエスケープ処理する際に、httpから始まる外部リンクにも行う必要がありますか？

<a href="<?php echo esc_url( home_url( '/' ) ); ?>">ホーム</a>

$yahoo = https://yahoo.com;
<a href="<?php echo esc_url( $yahoo ) ); ?>">yahooへ</a>
<a href="<?php echo esc_url( 'https://yahoo.com' ) ); ?>">yahooへ</a>

↑yahooへのリンクの場合にもエスケープは必要でしょうか？

Comments

[退会済みユーザー]

質問にあるケースなら不要では。。。でも、どういうケースで使われるか不明だから、esc_url()するのかなぁと思って、いつもesc_urlつけようと思います。

[yukina00235]

有難うございます。
最終的にはよくわからない感じすかね？
色々と調べるとWP関連では、getから取得するものはエスケープ品サイトの事なのですが、こういった直接のURLの記述の場合はどんなものなのでしょうか？
勝手な憶測ですが、DBから引っ張ったでデータではないので、エスケープしなくてもよさそうに思うのですが、プロの方はどう対処されているのでしょうか？気になります…。。

Answer 1

どこに記載する話かわからなかったので静観していますのですが...

データの検証 にあるように「信頼できるかわからないデータを無害化する」ためにサニタイズ関数を使います。

質問に記載された内容が、テーマのテンプレートファイル内にハードコーディングする外部リンクのURL をサニタイズ関数で処理するかという話であれば、テンプレートにハードコーティングする URL の場合は、コーディング時に正しいか検証されているはずです。ハードコーディングされるので途中で値が変わるわけでもないので、検証の結果が信用できるデータであれば必要ないでしょう。

テンプレートの中で、データベースから呼び出した値やフォーム等から入力したデータ等を扱う場合は必要になると思います。

Comments

[yukina00235]

有難うございます、普通に記載するときには必要ないということで理解いたしました。
有難うございます。