Evadarea ghilimelelor din atributele shortcode-urilor în WordPress

Se pare că sistemul de shortcode-uri din WordPress utilizează funcția shortcode_parse_atts($text); pentru a analiza o intrare de shortcode și a extrage numele și valorile atributelor, stocându-le în perechi în array-ul $atts, care este apoi transmis funcției shortcode-ului. Deci, în cazul tău, adăugarea acțiunilor de escaping în funcția shortcode ca aceasta:

$aps_person_description = esc_html($atts['aps_person_description']); 

nu va funcționa deoarece shortcode_parse_atts() a extras deja numele și valorile atributelor și ar fi putut interpreta greșit ghilimelele din valorile atributelor.

Pentru a analiza mai în detaliu, funcția shortcode_parse_atts() utilizează acest model regex:

/(\w+)\s*=\s*"([^"]*)"(?:\s|$)|(\w+)\s*=\s*\'([^\']*)\'(?:\s|$)|(\w+)\s*=\s*([^\s\'"]+)(?:\s|$)|"([^"]*)"(?:\s|$)|(\S+)(?:\s|$)/

pentru a recunoaște numele și valorile atributelor în următoarele formate:

1. attr1="value1"
2. attr2='value2'
3. attr3=value3
4. "value4"
5. value5

Deci, dacă un utilizator introduce ghilimele în valori, poate apărea cu ușurință o eroare. De exemplu:

[my_shortcode dog='Santa's Little Helper' /]    
// $attr este Array ( [0] => dog='Santa's [1] => Little [2] => Helper' )
// ar trebui să fie Array ( [dog] => Santa's Little Helper )

Sanitizarea după parsare este evident prea târziu, dar ce zici de sanitizarea înainte de parsare? Va trebui să sanitizăm întreaga intrare, deoarece nu avem încă valori ale atributelor cu care să lucrăm. Dar și asta cauzează probleme, de exemplu:

html_entities("[my_shortcode dog='Santa's Little Helper' /]", ENT_QUOTES);
// acum intrarea este [my_shortcode dog='Santa's Little Helper' /]
// după parsare: 
Array
(
    [dog] => 'Santa's
    [0] => Little
    [1] => Helper'
)

Paradoxul este: pentru a te asigura că motorul de parsare analizează corect, trebuie să sanitizezi valorile atributelor; dar pentru a face asta, trebuie mai întâi să rulezi motorul de parsare pentru a obține valorile.

În concluzie, cred că soluția rezonabilă pentru a te asigura că totul merge bine este să te asiguri că utilizatorii introduc atributele în formate corecte. Odată ce utilizatorii postează atribute prost formatate, va fi o mare bătaie de cap. Ca informație, experiența mea este să utilizez $content. În cazul tău, aș pune aps_person_description în $content, ar putea arăta astfel:

[my_shortcode]text aici cu "ghilimele" care ar putea întrerupe atributul...[/my_shortcode]

și ghilimelele vor fi mai puțin problemă.

Am întâmpinat o problemă similară atunci când am încercat să afișez o variabilă PHP într-un atribut de shortcode. În cazul meu, valoarea era un nume de termen de taxonomie, nu conținut generat de utilizator, așa că nu a fost nevoie de nicio operație de curățare a datelor.

Folosirea funcției htmlentities() cu flag-ul ENT_QUOTES permite utilizarea șirurilor care conțin caracterele ' și " ca atribute de shortcode. Totuși, această funcție convertește și alte caractere în entități HTML, cum ar fi transformarea lui & în &, ceea ce nu era ideal în situația mea.

Pentru a converti doar caracterele ' și " în entități HTML, fără a afecta alte caractere precum &:

htmlspecialchars_decode( htmlentities($value_to_print, ENT_QUOTES), ENT_NOQUOTES )

htmlspecialchars_decode() anulează toate conversiile în entități HTML efectuate de htmlentities(). Folosind flag-ul ENT_NOQUOTES, prevenim reconversia caracterelor ' și " înapoi în forma lor originală.