WEB制作のための情報サイト / unazuki Library

基本構文と使い方（引数・実行結果）

基本構文

HTMLをエスケープし、安全な文字列として出力します。
具体的には、HTMLの中で使われる<や>のような特殊文字を文字参照に変換します。例えば<は<に>は>に変換します。文字参照に変換することで、<や>のようなHTMLにとって特別な意味を持つタグを単なる文字列として扱うことができます。これにより、呼び出すデータに危険な <script> などが仕込まれていてもscriptを実行しないため安全です。

esc_html($text);

esc_html($text);

引数

実行結果

戻り値（返す値）：エスケープされた文字列を返します。
※表示するにはechoします。

例１．HTMLをエスケープする

<?php
$text = '<p>ここにテキストが入ります。</p>';
echo esc_html($text);
?>

<?php
$text = '<p>ここにテキストが入ります。</p>';
echo esc_html($text);
?>

結果：<p>ここにテキストが入ります。</p>
※pタグはプレーンな文字列になっているのでそのままブラウザに表示される。

例２．危険なコードをエスケープしない場合

下記の例では、scriptが実行されてしまいます。

<?php
$text = '<script>alert("危険なスクリプト！");</script>';
echo $text;
?>

<?php
$text = '<script>alert("危険なスクリプト！");</script>';
echo $text;
?>

結果：「危険なスクリプト！」というアラートをブラウザに表示。
この場合下記のようにエスケープします。

<?php
$text = '<script>alert("危険なスクリプト！");</script>';
echo esc_html($text);
?>

<?php
$text = '<script>alert("危険なスクリプト！");</script>';
echo esc_html($text);
?>

結果：<script>alert(“危険なスクリプト！”);</script>

学習者向け補足情報

よくある使い方

カスタムフィールドから値を呼び出す際にエスケープをする。

<?php $description = esc_html(get_field('description')); ?>
<p class='description'><?php echo $description; ?></p>

<?php $description = esc_html(get_field('description')); ?>
<p class='description'><?php echo $description; ?></p>

※get_fieldはプラグインACFで作成したカスタムフィールドを呼び出す関数

関連するテンプレートタグ