WordPressプラグイン「Search Regex」を利用して置換対象に改行を追加する

こんにちは、つばさ（@tsubasa123）です。

今回もWordPress関連のお話、ちょっと危険度高めな小ネタをお届けします。しっかりバックアップを取得しておけば大丈夫だと思いますが、基本的には自己責任でどうぞです。

Search Regex便利そう
正規表現は使えるのに
邪道なのはわかっていますが
コードを変更した後で
さいごに

Search Regex便利そう

WordPressユーザーの間では有名なプラグインみたいですが、「Search Regex」というコンテンツを一括で置換できるツールの使い方を調べていました。あれですね、WordPressへのお引っ越しの準備のうちの1つです。

ja.wordpress.org

さらっと使ってみた感想ですが、なかなか優秀な子だなーと。単純な文字列置換だけでなく、正規表現を使えるところはやはりポイント高いですね。まぁ、正規表現はあまり得意ではないのですが…

正規表現は使えるのに

改行が入れられないみたいなんですよね、というか、メタ文字全般がエスケープされてしまうのかな？具体的には、

<div class="rankstlink-r2">hogehoge</div>

このようなHTMLタグを、

<div class="rankstlink-r2">
hogehoge
</div>

このように一括で置換したかったわけです。WordPressはMySQLをデータベースに利用しているので、改行コードは「\n」に置き換えればいけるのかなーと思って色々試してみたんですが、「\n」でそのまま文字列として登録されちゃうんですよね。

セキュリティの観点からすれば厳しめに値をサニタイズ（無害化）することの大切さはわかるんですが、手作業で直すのはなんとか避けたい。専用のコードを書いて実行してもよかったのですが、今後「Search Regex」とは長い付き合いになるかもしれないので、ちょっと中身を調べてみることに。。

邪道なのはわかっていますが

コードを書き替えることでサニタイズを回避できることはなんとなく予想できていましたが、修正箇所を見つけるのに結構苦労しましたね。今回は投稿にのみ的を絞りましたが、おそらく他の箇所を同様に修正すれば固定ページもコメントもいけるんじゃないかと思います。

// /plugins/search-regex/searches/post_content.php
function replace_content ($id, $content)
{
global $wpdb;
$wpdb->query ($wpdb->prepare( "UPDATE {$wpdb->posts} SET post_content=%s WHERE ID=%d", $content, $id ) );
}

この部分を

// /plugins/search-regex/searches/post_content.php
function replace_content ($id, $content)
{
global $wpdb;
$content = str_replace('"', '\"', $content);
$wpdb->query ( "UPDATE {$wpdb->posts} SET post_content=\"{$content}\" WHERE ID=\"{$id}\";" );
}

このように修正します。これで入力値のサニタイズを回避して、直接データベースに対してUPDATE文を実行できるようになります。$wpdb->queryメソッドの中も確認しましたが、こちらではサニタイズは行われないようですね。