[#46037] Re: [ruby-core:47138] [ruby-trunk - Bug #6861][Open] ERB::Util.escape_html is not escaping single quotes — Shugo Maeda <shugo@...>

咳さん

12 messages 2012/08/13
[#46038] Re: [ruby-core:47138] [ruby-trunk - Bug #6861][Open] ERB::Util.escape_html is not escaping single quotes — Masatoshi SEKI <m_seki@...> 2012/08/13

=1B$B31$H$$$$$^$9!#=1B(B

[#46051] [ruby-trunk - Feature #6875][Open] Make test/unit default gem — "kou (Kouhei Sutou)" <kou@...>

19 messages 2012/08/15

[#46081] [ruby-trunk - Feature #6936][Assigned] Forbid singleton class and instance variabls for float — "naruse (Yui NARUSE)" <naruse@...>

17 messages 2012/08/26
[#46082] Re: [ruby-trunk - Feature #6936][Assigned] Forbid singleton class and instance variabls for float — SASADA Koichi <ko1@...> 2012/08/27

(2012/08/27 8:12), naruse (Yui NARUSE) wrote:

[ruby-dev:46048] Re: [ruby-core:47138] [ruby-trunk - Bug #6861][Open] ERB::Util.escape_html is not escaping single quotes

From: fujioka <fuj@...>
Date: 2012-08-13 11:51:31 UTC
List: ruby-dev #46048
藤岡です。

> 2012年8月13日 12:35 fujioka <[email protected]>:
>>>> (a) エスケープすべき文字がこれで良いのか最近の事情がわからない
>>>>       &apos;っていうのは件のパッチの中にないけど「'」のことですか?
>>>
>>> &apos;の話は、CGI.escapeHTMLの方で'を&apos;に変換しているという話です。
>>> HTML4では&apos;は使えないので数値文字参照にした方がよいのではないか
>>> という話でした。
>>>
>> これは &apos; が非推奨なのはセキュリティの観点じゃないんですか?
> 
> HTML4で定義されていないからだと理解しています。
> XHTMLなら問題ないと思いますが、CGIやERBではXHTMLを仮定できない
> のではないでしょうか。
> 
escapeHTMLとはなんなのか?という問題に行き着くかと思います。
私も途中からcgiライブラリをメンテナンスしているので、
過去のことはちょっとわからないのですが、
escapeHTMLとかはHTMLの最新版を提供するものかなぁとか
勝手に思っていました。
なので、HTML5に全部合わせるタイミングでHTML4をバッツリ切って
やるのがいいのかなと思っていました。

&apos; から &#x27; へ変更するだけでいいんですかね。

In This Thread

Prev Next