NobuNobu XOOPS Annex - Reference Documents

----Sorry!! This content is only for Japanese----

XOOPSのテキストサニタイザMyTextSanitizerには、htmlSpecialCharsというメソッドが存在しています。
このメソッド自体は、基本的にHTMLを許さない入力に対するサニタイズを行う事が目的の筈ですが、この内容と動作について、かなり前から完全な納得がいっていなかったので少し整理してみたいと思います。

このメソッドのソースは以下のようになっています。

ソースを見ると、いったんhtmlspecialchars()で、

の変換をおこなった後に、preg_replace()にて、

の置き換えを行っています。
このpreg_replace()部分も変換用配列の順序に依存しているので、少し判りにくいですが、
  --(htmlspecialchars)->  
　　　　　 --(preg_replaceルール1)->  
　　　　　 --(preg_replaceルール2)->  
という変換が行われる事になります。
その結果として、

というような変換がされる事となります。
どうしてこの様な変換方法がとられているのでしょうか？
HTMLエンティティー文字が入力された場合に、これをブラウザにエンティティ文字として表示させる事が目的なのでは？？
なんて勝手に考えてもいるのですが・・考えれば考えるほど頭が混乱してきています。
特に、 についての変換ルールは意味がわかりません。
空白文字を&nbspに強制変換するのであれば、整形目的及び、

<a href=<{$url}> >Link</a>

の様に値(この場合は、<{$url}>というSmarty変数)がクォートされていないHTML出力に対して、onclick= 等の形でJavaScriptの埋め込みを抑止する目的に使えるのですけど。
いずれにせよ、エンティティ文字を使用できる目的でも、編集時には入力したままの表記を再現させるために入力フォーム内の表示と、記事HTML出力では変換ルールを変えるべきかもしれませんね。
でないと、たとえば記事中に、

&

をそのまま表示させる場合に、現状の変換ルールを考慮に入れて

&

と入力して投稿したとしても、再度編集画面を開くと、フォームのテキストボックスに、

&

と表示され、これに気がつかないままに再投稿すると記事中には、

& 

が表示されてしまう事になります。
で再度編集画面を開くと、テキストボックスにも

& 

が表示されて、記事中には結果として生の&文字が出力される事になってしまいます。

これ、かなり前からxoopscube.jpのフォーラムにも投稿されていた様ですけど、なんの答えも出ていなかったのですね。
現在のXOOPSとの互換性を極力崩さない形で、なにか対応する方法が無いかを、考えてみる事にします。