エスケープ関数 ​

エスケープ関数を使用すると、クエリ、URL、マークアップドキュメント、CSV行などの特定の形式に値を安全に埋め込めます。

f"SELECT Id FROM Account WHERE Name = '{escape_for_soql(_.name)}'"

クエリ言語 ​

クエリに直接挿入されたインバウンドデータは、意図しない構文を持ち込む可能性があります。以下の関数は値をエスケープし、クエリエンジンが値をコードではなくデータとして扱うようにします。

escape_for_soql ​

SalesforceのSOQL文字列リテラル用に値をエスケープします。'と\をエスケープします。

escape_for_soql(value)

escape_for_soql("O'Brien")

O\'Brien

escape_for_odata ​

各シングルクォートを二重にすることで、ODataフィルター文字列リテラル用に値をエスケープします。 ODataでは、バックスラッシュエスケープではなく二重引用符が想定されます。

escape_for_odata(value)

escape_for_odata("O'Brien")

O''Brien

escape_for_regex ​

正規表現のメタ文字をエスケープし、パターンが文字列をリテラルとして一致させるようにします。

データからパターンを作成する場合は常に使用してください。エスケープしない場合、.または*を含む値によってパターンの動作が変わる可能性があります。

escape_for_regex(value)

escape_for_regex('a.b*c')

a\.b\*c

マークアップ ​

以下の関数は、HTMLまたはXMLマークアップ用に値をエスケープします。

escape_for_html ​

HTMLテキストまたは属性用に値をエスケープします。 &、<、>、"、'、および/をエスケープします。

escape_for_html(value)

escape_for_html('<b>Tom & Jerry</b>')

<b>Tom & Jerry</b>

escape_for_xml ​

XMLテキストまたは属性用に値をエスケープし、XML 1.0で不正なコードポイントを削除します。

これらのコードポイントを削除すると、ソースシステムの制御文字によってパーサーが処理できないXMLが生成されるのを防げます。

escape_for_xml(value)

escape_for_xml('<tag> & more')

<tag> & more

データ形式 ​

以下の関数は、特定のデータ形式またはコード形式用に値をエスケープします。

escape_for_csv ​

CSVフィールド用に値をエスケープし、必要に応じてフィールドを引用符で囲み、内部の引用符を二重にすることでRFC 4180に従います。

CSV Formulaインジェクションを防ぐには、'safe_formulas'を渡します。スプレッドシートアプリケーションは、=、+、-、または@で始まるフィールドをFormulaとして扱うため、信頼できないソースからの値は、誰かがファイルを開いたときに実行される可能性があります。このオプションは、そのようなフィールドの先頭にアポストロフィを付加します。

escape_for_csv(value, 'safe_formulas')

escape_for_csv('Smith, Josh')

"Smith, Josh"

escape_for_csv('=1+1', 'safe_formulas')

"'=1+1"

escape_for_json_string ​

周囲の引用符を追加せずに、JSON文字列内に埋め込む値をエスケープします。

JSONテキストを手動で組み立てる場合に使用します。代わりに値全体をシリアライズするには、全体のエスケープを処理するto_jsonを使用します。

escape_for_json_string(value)

escape_for_json_string('He said "hi"')

He said \"hi\"

escape_for_javascript ​

周囲の引用符なしで、JavaScript文字列リテラル内に埋め込む値をエスケープします。

escape_for_javascript(value)

escape_for_javascript("O'Brien")

O\'Brien

URLとクエリ文字列 ​

これら3つの関連関数は、スペースの扱いが異なります。必要なURL形式に一致する関数を選択してください。

escape_for_url ​

RFC 3986で定義されるように文字列をパーセントエンコードします。

escape_for_url(value)

escape_for_url('name=Kalani Park&x=1')

name%3DKalani%20Park%26x%3D1

uri_encode_www_form_component ​

単一のURIコンポーネントをパーセントエンコードします。予約されていない文字は変更されずに渡されます。

uri_encode_www_form_component(value)

uri_encode_www_form_component('Kalani Park')

Kalani%20Park

uri_decode_www_form_component ​

パーセントエンコードされたURIコンポーネントをデコードします。

uri_decode_www_form_component(value)

uri_decode_www_form_component('Kalani%20Park')

Kalani Park

uri_encode_www_form ​

Mapをapplication/x-www-form-urlencodedクエリ文字列としてエンコードします。スペースは+になります。

uri_encode_www_form(map, options)

uri_encode_www_form({status: 'open', q: 'blue widget'})

status=open&q=blue+widget

uri_decode_www_form ​

クエリ文字列をMapにデコードします。 +はスペースになります。

uri_decode_www_form(text, options)

uri_decode_www_form('status=open&q=blue+widget')

{status: "open", q: "blue widget"}

ユースケース: フィルターされたAPIリクエストを作成する ​

インバウンドデータの検索語句には、スペースや句読点が含まれることがあります。文字列を連結する代わりに、パラメーターをマップとしてエンコードして、各値をエスケープし、区切り文字を保持します。

入力

{
  "status": "open",
  "search": "blue widget & more"
}

Formula

f"/api/v2/orders?{uri_encode_www_form({status: _.status, q: _.search})}"

出力

"/api/v2/orders?status=open&q=blue+widget+%26+more"

uri_encode_www_formは検索語句内の&を%26としてエンコードするため、パラメーター区切り文字と誤認されません。また、2つのパラメーターを実際に区切る&はそのまま残します。

関連情報 ​

• JSON関数: 値全体をシリアライズするにはto_jsonを使用します。
• 文字列関数: 正規表現のマッチングと置換。
• エンコーディング関数: エスケープではなく文字エンコーディング。
• 文字列と書式設定: f-stringに関する詳細情報。