www.kkoba.com  » kkobaのblog

ようやく、今日原因がわかった。mt.cfg内の、NoHTMLEntities 0のせいだ。文字をEUC-JPにしていたため、mt.cfg内のコメントに従ってこれを0にしていたのが原因だった。

Normally, Movable Type will trust the character encoding to handle all text; but if you prefer to use HTML entities (for example, if you change the character encoding to a non-Unicode encoding), you should set the value of NoHTMLEntities to 0. You might also turn off this option if your system does not have the HTML::Entities Perl module installed.

Util.pm内を見ても、NoHTMLEntitiesが1になっていても、ちゃんとクロスサイトスクリプティング対策が行われているのがわかる。

sub encode_html {
  my($html, $can_double_encode) = @_;
  return '' unless defined $html;
  $html =~ tr!\cM!!d;
  if ($Have_Entities
          && !MT::ConfigMgr->instance->NoHTMLEntities) {
    $html = HTML::Entities::encode_entities($html);
  } else {  # NoHTMLEntitiesが1の場合
    if ($can_double_encode) {
      $html =~ s!&!&!g;
    } else {
      ## Encode any & not followed by something that 
      ## looks like an entity, numeric or otherwise.
      $html
        =~ s/&(?!#?[xX]?(?:[0-9a-fA-F]+|\w{1,8});)/&/g;
    }
    # クロスサイトスクリプティング対策
    $html =~ s!"!"!g;    #"
    $html =~ s!'!'!g;     #'  この行は自分で追加
    $html =~ s!<!&lt;!g;
    $html =~ s!>!&gt;!g;
  }
  $html;
}

NoHTMLEntities 0にしたのをすっかり忘れてた。うーん、この数日の文字化けとの戦いは何だったのか....