テキストメール用の Escaper を実装

[nanasess]

概要(Overview・Refs Issue)

• HTMLメールテンプレートを削除しても、安全にテキストメールを使用できるよう実装する
• Fixes HTMLメールテンプレートを削除しても安全なように対策 #5062

方針(Policy)

• Twig では独自にエスケープ処理を実装できるため、テキストメール用の Escaper を実装する
  • https://twig.symfony.com/doc/2.x/filters/escape.html#custom-escapers
• テキストメールの見た目や、 URL の文字がエスケープ処理によって無効化しないよう配慮する
  • <, > を全角文字に置換することで XSS を防止する
  • {% autoescape 'safe_textmail' %}{% endautoescape %} として使用可能

実装に関する補足(Appendix)

1. src/Eccube/Resource/template/default/Mail/shipping_notify.html.twig を削除する
2. shipping_notify.twig の {% autoescape false %}{% endautoescape %} を削除する
3. 受注一覧ページのメール送信から、以下のような内容の出荷メールを送信すると、

   石 九部 様
   
   お客さまがご注文された以下の商品を発送いたしました。商品の到着まで、今しばらくお待ちください。
   
   
   お問い合わせ：
   "
   &
   '
   <
   >
   https://www.google.com/search?q=xss&oq=xss&aqs=chrome..69i57j0l5j69i61l2.2954j1j7&sourceid=chrome&ie=UTF-8
    ...snip
   

4. 以下のように特殊文字がエスケープされてしまう。URLも無効化されてしまう。

    石 九部 様
    
    お客さまがご注文された以下の商品を発送いたしました。商品の到着まで、今しばらくお待ちください。
    
    
    お問い合わせ：
    "
    &
    '
    <
    >
    https://www.google.com/search?q=xss&oq=xss&aqs=chrome..69i57j0l5j69i61l2.2954j1j7&sourceid=chrome&ie=UTF-8
     ...snip
   

この Escaper を使用することで、<, > のみ全角文字に置換することで、極力メールの見た目を損なうことなく、安全にテキストメールを送信することができる

```
石 九部 様

お客さまがご注文された以下の商品を発送いたしました。商品の到着まで、今しばらくお待ちください。


お問い合わせ：
"
&
'
＜
＞
https://www.google.com/search?q=xss&oq=xss&aqs=chrome..69i57j0l5j69i61l2.2954j1j7&sourceid=chrome&ie=UTF-8
 ...snip
 ```

テスト（Test)

ユニットテストを追加

相談（Discussion）

エスケープ方法は妙案浮ばなかったので、とりあえず <, > を全角文字に置換してます。
もっと良いエスケープ方法がありましたらご意見ください

マイナーバージョン互換性保持のための制限事項チェックリスト

• 既存機能の仕様変更
• フックポイントの呼び出しタイミングの変更
• フックポイントのパラメータの削除・データ型の変更
• twigファイルに渡しているパラメータの削除・データ型の変更
• Serviceクラスの公開関数の、引数の削除・データ型の変更
• 入出力ファイル(CSVなど)のフォーマット変更

レビュワー確認項目

• 動作確認
• コードレビュー
• E2E/Unit テスト確認(テストの追加・変更が必要かどうか)
• 互換性が保持されているか
• セキュリティ上の問題がないか

[nanasess]

ユニットテストを追加し、 WIP はずしました

[chihiro-adachi]

@nanasess
仕様、実装ともに問題ないかと思います。

テストが落ちているのご確認おねがいできますでしょうか。

[nanasess]

@chihiro-adachi
#5072 の testReadCsvFileWithTrailingBlankLines のテスト以外は通りました

[chihiro-adachi]

@nanasess

#5072 の testReadCsvFileWithTrailingBlankLines のテスト以外は通りました

4.1ブランチではテスト通ってるようなので、4.1-coreブランチではいったん気にしなくて大丈夫ですか？

[nanasess]

@chihiro-adachi 本件とは関係ない箇所ですので一旦は問題ないかなと思います

[chihiro-adachi]

@nanasess
ありがとうございます。マージしました。