0

マークダウンで「引用」
・先頭に>を記述

> 引用  

Q
・上記を含むマークダウン文字列を「HTMLエスケープ」後「HTML変換」するには、どうすれば良いでしょうか?


試したこと
・変換を避ける方法を思いつかなかったため、変換後、先頭が「">"」の場合「">"」へ戻そうと思ったのですが、うまくいきません

$targetStr = "> 引用マークダウンはなぜこの記号なの?";
preg_replace("/^>/", ">", htmlspecialchars($targetStr, ENT_QUOTES, 'UTF-8'));
3
  • 結果しか書かれてないのでソースのテキストを追記してください
    – suzukis
    Commented 2017年8月9日 1:54
  • 質問自体を修正しました。「ソースのテキスト」と言うか、一般的にはどのように処理しているのか知りたく、質問しました
    – re9
    Commented 2017年8月10日 0:24
  • どううまくいかなかったのか分かりませんが、少なくともこのコードではネストした引用に対応できませんね。
    – nekketsuuu
    Commented 2017年8月10日 1:49

2 件の回答 2

1

マークダウン文字列を「HTMLエスケープ」後「HTML変換」するには、どうすれば良いでしょうか?

  • markdownにはHTML断片を含むことができる
  • > などHTML上意味があるがmarkdown文法でも使われている文字が存在する

ので、markdownを変換する前にHTMLエスケープをしてはいけません。

HTMLタグを取り除きたいのであれば、

  • markdownパーサの機能を使う
  • markdownパーサのコールバック処理などを使って自分で書く
  • 変換後のHTMLをDOM操作する

などの方法が考えられます。

0

注: これは質問の以前のリビジョンに対する回答です。

<blockquote> が正常変換されない理由

  1. 元々の Markdown

    > 対象文字列
    
  2. エスケープ後の文字列

    &gt; 対象文字列
    
  3. HTML へ変換

    <p>&gt; 対象文字列</p>
    

2の手順が挟まることで Markdown の「> ...」という引用記法が適用されなくなり、<blockquote> へ変換されなくなった、というわけです。

htmlspecialcharsで変換されうる文字は「&, ", ', <, >」のみなので、「#」を使うことになる装飾は影響を受けません。

  1. 元々の Markdown

    ### 対象文字列
    
  2. エスケープ後の文字列

    ### 対象文字列
    
  3. HTML へ変換

    <h3>対象文字列</h3>
    

エスケープしつつ <blockquote> 相当の装飾を正しく変換する方法

cebe/markdown 自体は内部で入力文字列を eval している訳ではないと思う (確認をお願いします) ので、エスケープは Markdown から HTML に変換した後で良いのではないでしょうか。

「脆弱性対策におけるhtmlspecialchars()の使用箇所について」もご参照下さい。

余談ですが、cebe/markdown の #106#116 では、XSS 対策のために HTML Purifier を勧めています。

5
  • 質問修正後に、回答に気が付きました。「エスケープは Markdown から HTML に変換した後で良いのではないでしょうか」についてですが、HTML 変換後にエスケープしてしまうと、HTML 変換の意味がなくなってしまうと思うのですが…、(他の有効なHTMLタグが戻ってしまうので)
    – re9
    Commented 2017年8月10日 0:21
  • @re9 なので、HTML Purifier についても触れてみました。たとえば cebe/markdown のデモのようなものを実装したいのであれば、これで充分な気がします (が、ちゃんと厳密に検証した訳ではないです)。
    – nekketsuuu
    Commented 2017年8月10日 0:32
  • ともあれ、質問が少し変わったので、これでは回答として成り立ってないですね。
    – nekketsuuu
    Commented 2017年8月10日 0:37
  • 余談の件、情報ありがとうございます。確かに「HTML Purifier」と書いてますね。「セキュリティについては、あまりライブラリに頼らないほうが良い」と聞いたことがあり、ちょっと迷っているのですが、最終的に他に手段がないのであれば、「HTML Purifier」を使用してみたいと思います
    – re9
    Commented 2017年8月10日 0:38
  • @re9 ライブラリに頼りたくないのであれば、HTML Purifier 相当の動作をするものをご自身で実装なされば良いのではないでしょうか?
    – nekketsuuu
    Commented 2017年8月10日 1:40

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。