OpenPNE 3

ガジェットのレンダリングに使用されている get_component() ヘルパー関数に、以下のようなコードが存在しています。

$view->setPartialVars(true === sfConfig::get('sf_escaping_strategy') ? sfOutputEscaper::unescape($vars) : $vars);

ビューから渡ってきた HTML エスケープ済みの値をロジックに渡す前にアンエスケープすることを目的としたコードですが、実は、 OpenPNE は sf_escaping_strategy の値が true ではなく "on" となっているために、データが アンエスケープされないまま ロジックに渡されてしまいます。これがこのバグの原因となっています。

YAML ファイル内の bool 値の表現は symfony 1.4 へのアップデート時に変更がおこなわれました（ https://groups.google.com/group/openpne-dev/browse_thread/thread/a2f2e2798fd308f3/15214bdaa90644d2?hl=ja&lnk=gst&q=yaml#15214bdaa90644d2 ）。いままで bool 値として扱われていた on や off などの表記がただの文字列として扱われるように変更されています。

symfony 1.4 への対応をおこなう過程でこのような代替表現は置き換えられたものとばかり思っていましたが、 on が文字列として扱われたところで、 PHP の世界で bool に変換すれば true になるのだから同じことだとして on 等の表現についてはあまり真面目に置換がおこなわれなかったのかもしれません。

さて、symfony が意図するように、ロジック側にデータを引き渡す前に一度アンエスケープされるよう修正する、つまり、 sf_escaping_strategy が確実に true として扱われるように設定ファイルを変更するのが理想的ですが、 OpenPNE で使用しているすべてのコンポーネントに影響がありうる変更なため、本当にこの策を採っていいかどうかについてはよく考えるべきです。

コアとすべてのバンドルプラグインに存在する、すべてのコンポーネントの実装を確認しましたが、コンポーネントのロジック側では sfOutputEscaper にラップされていることを想定したコードは存在しないであろうことがわかりました。

現時点で sf_escaping_strategy が "on" となってしまうように設定されている設定ファイルをすべて true に変更するように対応をおこなってください。

escaping_strategy によって get_component および get_partial に影響をあたえるようになったのは以下のチケットおよびチェンジセットです．

http://trac.symfony-project.org/ticket/7825
http://trac.symfony-project.org/changeset/27755

コンポーネント
lib/vendor/symfony/lib/helper/PartialHelper.php 141行目

134 function get_component($moduleName, $componentName, $vars = array())
135 { 
136   $context = sfContext::getInstance();
137   $actionName = '_'.$componentName;
138     
139   $class = sfConfig::get('mod_'.strtolower($moduleName).'_partial_view_class', 'sf').'PartialView';
140   $view = new $class($context, $moduleName, $actionName, '');
141   $view->setPartialVars(true === sfConfig::get('sf_escaping_strategy') ? sfOutputEscaper::unescape($vars) : $vars);
142   
143   if ($retval = $view->getCache())
144   {
145     return $retval;
146   }
147 
148   $allVars = _call_component($moduleName, $componentName, $vars);
149 
150   if (null !== $allVars)
151   {
152     // render
153     $view->getAttributeHolder()->add($allVars);
154 
155     return $view->render();
156   }
157 }

パーシャル
lib/vendor/symfony/lib/helper/PartialHelper.php 216行目

198 function get_partial($templateName, $vars = array())
199 {
200   $context = sfContext::getInstance();
201 
202   // partial is in another module?
203   if (false !== $sep = strpos($templateName, '/'))
204   {
205     $moduleName   = substr($templateName, 0, $sep);
206     $templateName = substr($templateName, $sep + 1);
207   }
208   else
209   {
210     $moduleName = $context->getActionStack()->getLastEntry()->getModuleName();
211   }
212   $actionName = '_'.$templateName;
213 
214   $class = sfConfig::get('mod_'.strtolower($moduleName).'_partial_view_class', 'sf').'PartialView';
215   $view = new $class($context, $moduleName, $actionName, '');
216   $view->setPartialVars(true === sfConfig::get('sf_escaping_strategy') ? sfOutputEscaper::unescape($vars) : $vars);
217 
218   return $view->render();
219 } 

この問題を OpenPNE 単体で対処するには以下の２つの方法があると思います．

1. escaping_strategy を false にして get_component() を用いる際の引数を，与える時点でアンエスケープする．
2. escaping_strategy を true にして get_partial()/include_partial() を用いる際の引数をエスケープする．

Symfony のコードを変更することが許容されるならば escaping_strategy を true にして get_partial() のアンエスケープ部分を削除することが最も簡単だと思います．

OpenPNE 単体での解決が難しいため， Symfony に対してパッチを当てる方針とします．