Había mirado el código pero no pude ver ningún escape en funciones como the_title the_content the_excerptetc. Puede que no lo esté leyendo bien. ¿Necesito escapar de estas funciones en el desarrollo de temas como: esc_html ( the_title () ) Editar: como se señaló en las respuestas a continuación,...
Recibí comentarios del encargado de seguridad y él señaló que debería usar el escape apropiado de la entrada del usuario en mi código. Así que investigué un poco y encontré funciones de escape. ¿Cual es la diferencia entre ellos? ¿Cuándo debo usar esc_html()y cuándo esc_attr()? ¿Y cuándo debo usar...
Estoy confundido acerca de los diferentes usos de esc_html()y wp_kses(). Entiendo que esc_html()convierte caracteres especiales en su entidad HTML, y que wp_kses()elimina las etiquetas no deseadas (por ejemplo, <script>), pero no estoy seguro de en qué contextos deben usarse juntos o...
Al hacer una plantilla como single.php y tienes php envuelto en html, es mejor: ¿Iniciar + detener PHP? por ejemplo <h1 class="post-tilte"><?php the_title(); ?></h1> <p class="post-content"><?php the_content();?></p> O Echo HTML y Escape PHP? Por ejemplo...
He estado revisando mucha información sobre el tema de WP y la seguridad de los complementos y entiendo el concepto de que debe escapar de los atributos y los valores HTML en los temas y complementos. He visto bloginfo()y echo get_bloginfo()utilizado tanto estándar y dentro de una esc_html()o...
Tengo una página de Opciones de tema donde el usuario puede agregar ciertas opciones, como enlaces de Facebook, etc. Una de las opciones es para algunos códigos de anuncios y, al guardarlos como una opción, se escapa una y otra vez. ¿Cuál es el mejor enfoque para guardar el código insertado en una...
http://core.trac.wordpress.org/browser/trunk/wp-includes/formatting.php#L2239 Estoy confundido acerca de cuándo se debe usar cualquiera de ellos. Suponiendo que tengo esta URL: http://site.com/?getsomejavascript=1que se genera dinámicamente javascript: si incluyo el script con...
He leído WordPress profesional y dice: esc_htmlLa función se utiliza para eliminar datos que contienen HTML. Esta función codifica caracteres especiales en sus entidades HTML esc_attr La función se utiliza para escapar de los atributos HTML esc_url. Esta función debe usarse para eliminar...
¿Cuál es la diferencia exacta entre esc_htmly attribute_escapefiltro? esc_html()usos esc_html filtery esc_attr()usos attribute_escape filter. Ambos codifican <> & "'(menor que, mayor que, ampersand, comillas dobles, comillas simples). Me interesa saber qué los hace diferentes en...