esc_url()の必要性

Question

お世話になります。

WordPressのテーマにてechoする際、esc_url()やesc_html()やesc_attr()でエスケープ処理するのが通例となっています。
例えばesc_html()やescattr()などは、例えば「フォームで外部ユーザー側からGETしたものをそのまま出力するのは危ない」というのはイメージがつきます。

しかし、例えば画像ソースを出力するための

<img src="<?php echo esc_url(get_template_directory_uri() . '/hoge.jpg'); ?>">

や、内部アンカーリンクに

<a href="<?php echo esc_url(home_url()); ?>">

といったエスケープ処理の必要性が分かりません。

これらは初めからこちら側(WP側)で特定の記述を決めつけているはずなのに、それが外部からどのように改変・攻撃される危険性があるか、といった想定がつきません。

なにか分かりやすい例などがあればご教授いただけると幸いです。
よろしくお願いいたします。

Answer 1

主にXSSについての疑問かと思いますが、「慣習」のようなものと捉えて良いと思います。
基本的には出力時に対応をするべきものであるため、「あれはする」「これはしない」と分けていると対応漏れが起きたりします。
なので、「動的な文字列、変数を出力する際は全て対応する」とすることで漏れをなくすような形にしているのではないでしょうか。

WordPressの話ではないですが、PHPに限らずテンプレートエンジンはデフォルトの出力時の記述は全てhtmlエスケープが行われる記述方法となっており、「エスケープしない」記述は意図しないと書けないようになっています。

Comments

[cryson]

むしろ「エスケープする」が当然で、「エスケープしない」が管理者側の意図したものでないといけないということですね。
コードが冗長化することは好ましくないのではと今回の疑問に行きつきましたが、全てに統一性を持たせ漏れをなくすことは重要だと思いました。ありがとうございました。

Answer 2

プラグインによって組み込み関数が予期しない動作に変更されてしまっている可能性があるからではないでしょうか？