CakePHP2のh()の第２引数doubleって何だ？

セキュアなWebアプリを作るべくまい進する昨今。こんにちは。

ってことで、徳丸先生の

体系的に学ぶ 安全なWebアプリケーションの作り方　脆弱性が生まれる原理と対策の実践 [大型本]

徳丸 浩

ソフトバンククリエイティブ

2011-03-03

を激読みしてます。

htmlspecialcharsの話ももちろんでてきます。

CakePHPはh()っていう便利なメソッドがあって、こいつにはお世話になるでしょう。

でこのh()ですが、ソース見ますと定義は次のようになってるわけです。


１番目は処理対象の文字列と。２番目$double。なんだこれ？？３番めは"UTF-8"とか指定するわけですね。徳丸先生も著書の中でcharsetを指定することの重要さを書かれておりました。（私は知らずに第１引数しか使ってませんでしたが、結果的にはCakePHPのcoreの指定でUTF-8になってたので良かった！）

さて、第２引数の$double。これなんだ？ってことでグーグル先生に聞くもなかなかヒットせず…

ソースのコメントやら仕様のページやら見てはたと気づいた！


要するに、>とかを更にエスケープするか、そのままにしとくかってことなのね。
試してないけど間違いない。


ところで、htmlspecialcharsよりhtmlentities のほうがセキュアかしら？よくわからんが後で考えよう。