codeigniterのform_helperとset_value()

codeigniterのviewページを作っていた時にset_value()の挙動が気になったのでメモ

set_value()

いい感じにPOSTパラメータを保持してフォームやテキストエリアの値をセットできます

function set_value($field, $default = '', $html_escape = TRUE)
    {
        $CI =& get_instance();

        $value = (isset($CI->form_validation) && is_object($CI->form_validation) && $CI->form_validation->has_rule($field))
            ? $CI->form_validation->set_value($field, $default)
            : $CI->input->post($field, FALSE);

        isset($value) OR $value = $default;
        return ($html_escape) ? html_escape($value) : $value;
    }

ここでform_input()などのform_helperと組み合わせて使おうとするとform_helperはデフォルトでエスケープしてくれますので二重にエスケープされます。

ざっくり

$h0 = "<script>alert('1');</script>";
$h1 = html_escape($h0);
$h2 = html_escape($h1);
var_dump($h0, $h1, $h2);

// string(28) "(html要素)" string(50) "<script>alert('1');</script>" string(74) "&lt;script&gt;alert(&#039;1&#039;);&lt;/script&gt;"

こんな具合です。
二重にエスケープされるのを防ぐにはset_valueの第３引数をfalseにすれば行けます。

自己解決したら、日本語ドキュメントに書いてありましたw

codeigniterのエスケープ

codeigniterのform_helperとset_value()

set_value()