Keyboard shortcuts

Press ← or → to navigate between chapters

Press S or / to search in the book

Press ? to show this help

Press Esc to hide this help

[インデックス 10125] ファイルの概要

本解説は、Go言語プロジェクトにおけるドキュメントファイルのHTMLエスケープに関するコミット（インデックス10125）について、その詳細な技術的背景、変更内容、および関連する概念を包括的に説明します。

コミット

  • コミットハッシュ: 1e900b0d226b4a562abc6d31adb2eb721c60cbf9
  • 作者: Andrew Gerrand adg@golang.org
  • コミット日時: 2011年10月27日 木曜日 15:40:57 +0900
  • コミットメッセージ: doc: fix escaping in weekly.html

GitHub上でのコミットページへのリンク

https://github.com/golang/go/commit/1e900b0d226b4a562abc6d31adb2eb721c60cbf9

元コミット内容

doc: fix escaping in weekly.html

R=golang-dev, dsymonds
CC=golang-dev
https://golang.org/cl/5306070

変更の背景

このコミットは、Goプロジェクトのドキュメントファイル doc/devel/weekly.html におけるHTMLエスケープの問題を修正することを目的としています。具体的には、HTMLタグの一部である <select> が、ドキュメント内でコードスニペットや説明として表示される際に、ブラウザによって実際のHTML要素として解釈されてしまう問題がありました。

ドキュメント内でHTMLタグそのものをテキストとして表示したい場合、そのタグを構成する特殊文字（< や > など）をHTMLエンティティに変換する必要があります。変換されていない場合、ブラウザはそれらを通常のHTMLマークアップとして処理しようとし、意図しない表示崩れや、最悪の場合、セキュリティ上の脆弱性（クロスサイトスクリプティング: XSS）を引き起こす可能性があります。

このコミットは、weekly.html というファイルがGoプロジェクトの週次レポートや開発状況をまとめたドキュメントであると推測され、その中で特定のHTML要素に関する記述があった際に、それが正しくテキストとして表示されるように修正されたものです。

前提知識の解説

HTMLエスケープとは

HTMLエスケープ（またはHTMLエンティティへの変換）とは、HTMLドキュメント内で特別な意味を持つ文字（例: <, >, &, ", '）を、その文字自体として表示するために、対応するHTMLエンティティに置き換える処理のことです。

  • < (小なり記号) は &lt; に
  • > (大なり記号) は &gt; に
  • & (アンパサンド) は &amp; に
  • " (二重引用符) は &quot; に
  • ' (単一引用符) は &#39; または &apos; に（&apos; はHTML5で導入）

これらのエンティティを使用することで、ブラウザはそれらを特殊文字ではなく、単なるテキストとしてレンダリングします。

なぜHTMLエスケープが必要か

  1. 表示の正確性: HTMLタグや特殊文字をテキストとして表示したい場合、エスケープしないとブラウザがそれらをHTMLマークアップとして解釈し、意図しない表示になります。例えば、<p>これは段落です</p> という文字列をそのまま表示したいのに、エスケープしないと「これは段落です」とだけ表示され、<p> タグは解釈されてしまいます。
  2. セキュリティ（XSS対策）: ユーザーからの入力や外部から取得したデータをHTMLページに表示する際、エスケープ処理を怠ると、悪意のあるスクリプトが埋め込まれる可能性があります。例えば、ユーザー名に <script>alert('XSS')</script> のような文字列が含まれていた場合、エスケープされていないと、そのスクリプトが実行されてしまいます。これはクロスサイトスクリプティング（XSS）攻撃と呼ばれ、ウェブアプリケーションの主要な脆弱性の一つです。エスケープすることで、スクリプトは単なるテキストとして表示され、実行されることはありません。
  3. HTMLの構文整合性: HTMLドキュメントの構文規則を維持するためにもエスケープは重要です。例えば、属性値の中に二重引用符が含まれる場合、エスケープしないと属性値の区切りが誤って解釈され、HTMLのパースエラーにつながる可能性があります。

技術的詳細

このコミットにおける技術的詳細は、HTMLドキュメント内で特定のHTMLタグ（この場合は <select>）を、その機能ではなく、純粋なテキストとして表示するための標準的なHTMLエスケープ手法の適用にあります。

変更前のコードでは、おそらく parse <select> tags のように、<select> がそのまま記述されていました。ウェブブラウザはHTMLドキュメントを解析する際、< をタグの開始、> をタグの終了と認識します。そのため、parse <select> tags という記述があった場合、ブラウザは parse の後に <select> というHTML要素が来ると解釈し、その後の tags は <select> タグのコンテンツの一部、あるいは別のテキストとして処理しようとします。これにより、意図した「<select> タグを解析する」という説明が正しく表示されないか、あるいは表示が崩れる可能性がありました。

この問題を解決するために、コミットでは < を &lt; に、> を &gt; にそれぞれ置き換えています。これにより、parse &lt;select&gt; tags となります。ブラウザは &lt; を「小なり記号」という文字として、&gt; を「大なり記号」という文字として認識するため、<select> はHTML要素としてではなく、単なるテキスト文字列としてレンダリングされます。

この修正は、特に技術ドキュメントやコードスニペットをウェブページ上で表示する際に非常に重要です。プログラミング言語のコードやマークアップ言語の例を示す場合、その構文を構成する特殊文字がブラウザによって誤って解釈されないように、常にエスケープ処理を行う必要があります。

コアとなるコードの変更箇所

変更は doc/devel/weekly.html ファイルの1箇所のみです。

--- a/doc/devel/weekly.html
+++ b/doc/devel/weekly.html
@@ -51,7 +51,7 @@ signatures updated.
 * gotest: explicit -help flag, use $GCFLAGS like make does.
 * govet: check canonical dynamic method signatures.
 * html: improved parsing (thanks Andrew Balholm),
-	parse <select> tags, parse and render comment nodes,
+	parse &lt;select&gt; tags, parse and render comment nodes,
 	remove the Tokenizer.ReturnComments option.
 * http: Transport: with TLS InsecureSkipVerify, skip hostname check.
 * misc/vim: add highlighting for delete (thanks Dave Cheney).

コアとなるコードの解説

上記のdiffを見ると、51行目の変更が確認できます。

  • - parse <select> tags, parse and render comment nodes, (変更前)
  • + parse &lt;select&gt; tags, parse and render comment nodes, (変更後)

この変更は、文字列 "<select>" を &lt;select&gt; に置き換えることで、HTMLドキュメント内で <select> がHTMLタグとしてではなく、リテラルなテキストとして表示されるようにしています。

具体的には：

  • parse <select> tags: この部分では、<select> がHTMLタグとして解釈されるため、ブラウザは <select> 要素をレンダリングしようとします。しかし、これはドキュメント内で「<select> タグを解析する」という説明の一部として表示されるべきテキストでした。
  • parse &lt;select&gt; tags: &lt; は < のHTMLエンティティ、&gt; は > のHTMLエンティティです。これにより、ブラウザは &lt;select&gt; を単なる文字列「<select>」として表示し、HTML要素としては解釈しません。

この修正により、doc/devel/weekly.html を閲覧するユーザーは、html: improved parsing の項目で、<select> という文字列が正しく表示され、HTML要素として誤って解釈されることがなくなります。これは、ドキュメントの可読性と正確性を向上させるための、シンプルながらも重要な修正です。

関連リンク

参考にした情報源リンク