htmlspecialchars_decodeでシングルコーテーションが戻らない

Question

こんな質問で恐縮です・・・

ユーザーが入力した内容を、htmlspecialcharsをかけてmysqlに登録しています。
（ここは既に運用しているため、変更が難しいです・・）

登録内容をCSVに吐き出しているのですが、
「シングルコーテーション」や「＆」など、住所や名前に使われそうな文字も変換されてしまっているため、
htmlspecialchars_decodeを通してCSVに出力しましたが、
「&」「<」「>」は元に戻りましたが、「シングルコーテーション」は「'」のままになってしまいます…

どうすれば、シングルコーテーションも戻せるかアドバイスいただけますと幸いです。

・・・str_replaceで置換した方がよいでしょうか…

以下、状況です。

■フォームで本当に記述した内容

名前：　テスト名前's test&IT
住所：　東京都&葛飾区's マンション<span style="color: red;">あああああ</span>

↓
■mysqlに登録されている内容

名前：　テスト名前's test&IT
住所：　東京都&葛飾区's マンション<span style="color: red;">あああああ</span&

■CSVを出力する際のコード

<?php
    if(connect_db()) {
        $sql = "SELECT * FROM {$dbname}.spot_orders";
        $stmt = $dbh->prepare($sql);
        $stmt->execute();
        $records = $stmt->fetchAll();
    }

$data = [];
        $i = 0;
        $data[$i] = [ //ヘッダーをセット          
            "名前",
            "カナ",
            "Email",
            "電話番号",
            "郵便番号",
            "住所",            
        ];

        foreach($records as $record) {
            $i++;            
            $data[$i][] = htmlspecialchars_decode($record["name"]);
            $data[$i][] = $record["name_kana"];
            $data[$i][] = $record["email"];
            $data[$i][] = '="' . $record["phone"] . '"';
            $data[$i][] = '="' . $record["zip_code"] . '"';
            $data[$i][] = htmlspecialchars_decode($record["address"]);            
        }
    
        download_csv("order.csv", $data); //CSV出力用の関数

↓
CSVに記載されるテキスト

名前：　テスト名前's test&IT
住所：　東京都&葛飾区&#039;s マンション<span style="color: red;">あああああ</span>

名前→&は入力したものに戻っているが、シングルコーテーションは戻っていない
住所→&とhtmlタグは入力したものに戻っているが、シングルコーテーションは戻っていない

何卒、よろしくお願いいたします。

Answer 1

ユーザーが入力した内容を、htmlspecialcharsをかけてmysqlに登録しています。

（ここは既に運用しているため、変更が難しいです・・）

ここを改める以外ありません。
加工して登録してしまったデータは「元々どうだったか」を知るすべはないです。
本当にそのとおり登録された可能性もありますしね。
置換でなんとかしようとすると直した先から例外が出てきて個別対応に追われ、終わりの見えない状態に陥るでしょうね。

それなら登録処理を改めて表示時にhtmlspecialcharsかけるようされたほうが問題が起きずに済みます。

既に登録されたデータをどう救うかは考えなければなりませんが、それはそれで個別に元に戻すとか、手動対応（置換用SQLでいけなくもないだろうけど）は必要になると思います。

Comments

[mikeko0901]

ありがとうございます。
今はhtmlspecialchars_decodeで対応しましたが、時間があるときにいただきました内容を検討しようと思います。

Answer 2

こういう事をしたいのですかね？

<?php
// Your code here!
$str = "テスト名前&#039;s test&amp;IT";

echo htmlspecialchars_decode($str,ENT_QUOTES);

出力結果

テスト名前's test&IT

---

困ったことがあったら、まずは
PHPマニュアル htmlspecialchars-decode
に記載のあるオプションを試してみて下さい。

Comments

[mikeko0901]

ありがとうございます。
ENT_QUOTES
がぬけておりました。マニュアルのオプションに気を付けます・・・

[tanat]

私も確認してみて気づいたので、関数のオプションを候補で出せるようにIDEを設定したり、常にマニュアルを確認するのが良いですね。
苦労して独自実装した後にオプション一発で出来ることに気づくとかはよくあるので。

[tanat]

とはいえ、データ投入時点の方法が間違っているという事実は変わらないので、
可能であれば投入側のプログラムを修正&一緒に旧データのアップデートをする
というのがお勧めではあります。

Answer 3

str_replace()を使って「'」を置き換えちゃえばいいんじゃないでしょうか。

Comments

[mikeko0901]

ありがとうございます。最後の手段でstr_replaceをやろうと思いました。