WordPressの$_POSTのサニタイズについて

Question

update_optionで$_POSTの配列を一括で保存しているのですが、サニタイズする場合は一度変数にいれてから個別で判定する必要がありますか？

update_option($this->text_domain, $_POST[$this->text_domain]);

Answer 1

WordPress にはあまり詳しくありませんが、$_POST の値を DB へ登録するときには、一般的に、DB への登録前に「入力値としての適正」を確かめ、DB登録時に「DBへ登録するためのエスケープ処理」を行い、出力時に「出力のためのエスケープ処理」を実施します。

matometaru さんのいう「サニタイズ」が何を表しているか分かりませんが、「入力値としての適正」の確認のことであれば、DB投入前に個別にチェックする必要があります。
「DBへ登録するためのエスケープ処理」なら、関数で一括処理するのが一般的なので、利用する関数が、そういった処理を入れているか確認すると良いです。
「出力のためのエスケープ処理」であるならば、テンプレートエンジンが一括で行っているか、個別に「htmlspecialchars()」を利用して、表示データを個別に整形してやる必要があります。

update_option を少し調べてみましたが、$_POST をなにか整形することを目的とした関数に見えませんでした。サイトの設定を変更する際に使用する関数ではないですか？
あと、$_POST[$this->text_domain] のような未検証の parameter を関数に直接入れないほうがイイです。検証してから入れるようにして下さい。

全体像がわからないので、思いつくままに書きましたが、参考になれば。

Comments

[matometaru]

＞ 一般的に、DB への登録前に「入力値としての適正」を確かめ、DB登録時に「DBへ登録するためのエスケープ処理」を行い、出力時に「出力のためのエスケープ処理」を実施します。

入力値としての適正であってます。update_optionは値をデータベースに保存する処理なのですが、その前にサニタイズしなさいって言われ、配列をの場合はどうやるのかと思ったのですが、１つづつやっていく必要がありそうですね。

ありがとうございました。