WordPressの仕様が変わったようです。

WordPress公式テーマ（今回は「Twenty Twenty-One」にて確認）でも、同様のことが起きます。

WordPress 6.0.2では、入力できたタグ（spanタグにstyle属性でcolorを指定した）も、WordPress 6.0.3ではspanタグ毎、除去されてしまいます。

試しにiタグにstyle属性でcolorをつけてみましたが、iタグは残るのですが、style属性は除去されてしまいました。

WordPress 6.0.3のアップデード情報がありますが・・・。

https://wordpress.org/support/wordpress-version/version-6-0-3/

以下の部分？

Stored XSS in WordPress Core via Comment Editing – Third-party security audit and Alex Concha from the WordPress security team

コメント編集を介して WordPress コアに XSS を保存 – サードパーティのセキュリティ監査と WordPress セキュリティ チームの Alex Concha

以下の部分が影響しているようです。

WordPressの変更履歴
https://core.trac.wordpress.org/changeset/54537/branches/6.0/src/wp-includes/comment.php

ここまでしか言えないです。

● 原因

意図した動作なのかは分かりませんが、WordPress 6.0.3 からの仕様みたいです。

参考：Comments: Apply kses when editing comments.

コメントを投稿した者が unfiltered_html 権限を持っていないと、そのコメントの編集時にも許可された HTML タグ以外は使えないようになっています。

6.0.3 の説明に  XSS in WordPress Core via Comment Editing とあるので、この対策だと思います。

コメントの編集時に許可されている HTML は、以下で確認できます。

https://github.com/WordPress/WordPress/blob/master/wp-includes/kses.php#L384-L412

尚、<font> は WordPress とは関係なく随分前から非推奨になっていますので、使ってはいけません。

参考：<font> - HTML: HyperText Markup Language | MDN

● 質問

<font> は、具体的にどのようなケースでお使いなのでしょうか？

場合によっては、CSS で対応できると思います。

@mk2_mk2 返信ありがとうございます！やはりそうだったんですね、、、となると現状手段は無いといった感じなのでしょうか・・・。

@akira 返信ありがとうございます！

<font>を使う際は、コメントの文字色を変える時にしか使用しておりません。

「<font color="darkgray">コメント</font>」

ただこれだけを直接入力して反映させておりました。

” 場合によっては、CSS で対応できると思います。”

>>CSSを使ってみるやり方ですが、いくつか調べながらやってみた結果、自分ではどうともできませんでした・・・。（HTMLを記入した時点で『更新』→『消えてしまう』現象が発生）

別の指定等でCSSを使って対応できるのでしたら、是非ご教授お願い致します！！！

$allowedtagsはグローバル変数なので介入はできそうですね。
https://github.com/WordPress/WordPress/blob/97ba08426dd1ca896596646e708b2d17387ed287/wp-includes/kses.php#L50

グローバル変数で$allowedtagsを出力してみると変数を取得できました。
以下のような配列にfont属性を追加することでもしかしたら対応できるのかもしれません。

試しにやってみたのですが、子テーマのfunctions.phpに以下のように書くとfont属性を追加できました。

add_action('init', function () {
  global $allowedtags;
  $allowedtags['font'] = array(
    'color' => true,
    'size'  => true,
    'face'  => true,
    'font-weight'  => true,
  );
});

<font color="red">赤い文字</font>

上記のコードをコメントに書いて試してみましたが文字色を変更できました。
ただし、この方法はWordPress標準の仕様ではなくなるので、使用する場合は自己責任でお願い致します。

admin_init であれば、管理画面内に限定できますね。

add_action( 'admin_init', function() {
  global $allowedtags;
  $allowedtags['span'] = [
    'style' => true
  ];
});

他ユーザーも文字色を変更できるのがいい場合は init を、他ユーザーは文字色を変更できないのがいい場合は admin_init を使うのがいいかもしれません。ただ、どちらにしろ自己責任になります。

<font>を使う際は、コメントの文字色を変える時にしか使用しておりません。

コメントの文字色を変える時とは、どのような時でしょうか？

他ユーザーのコメントは、全て文字色を変えるのでしょうか？それとも、何かしらの条件がある場合に文字色を変えるのでしょうか？

@akira 詳細等ご教授頂きありがとうございます！

使用する際、他ユーザーからのコメントを一定の条件下で文字色を変更しております。

その場合はakiraさんのおっしゃる通りadmin_initを使用するのが適切、という事で合ってますでしょうか？

@yhira いつも大変お世話になっております。

返信いただきありがとうございます！とても参考になります・・・。

少しお聞きしたいのですが、

教えていただいたコードは「functions.php」の一番下に追加して問題ありませんか？

また、『WordPress標準の仕様ではなくなるので、使用する場合は自己責任』というのは
今後サイト全体の表記などがくずれる恐れがあるといった認識で合っていますでしょうか？

add_action('init', function () {
  global $allowedtags;
  $allowedtags['font'] = array(
    'color' => true,
    'size'  => true,
    'face'  => true,
    'font-weight'  => true,
  );
});

@maroo さん

一定の条件下で文字色を変更しております。

一定の条件下とは、どんな条件でしょうか？具体的な例をあげていただけると助かります。その条件によっては、PHP カスタマイズは必要ないかもしれません。

もし、PHP カスタマイズをされる場合は、わいひらさんのコードや以下の例をご参考ください。

add_action( 'admin_init', function() {
  if ( current_user_can( 'unfiltered_html' ) ) {
    global $allowedtags;
    $allowedtags['span'] = [
      'style' => true
    ];
  }
});

※ HTML タグを使える権限を持った者のみが、管理画面で <span style=""></span> を使えるようにするものです。

そして、<span> で文字色を変更します。

<span style="color: darkgray;">コメント</span>

セキュリティに関係する内容のため、どのように変更するかは maroo さんがご判断ください。私には責任が取れないため、どの方法が適切かは言えません。

書き直しました

@akira 

スパム等のコメントが投稿された際にテキストを定型文に変更し、文字色をグレーにする。

といったものです！

投稿者:: @maroo

教えていただいたコードは「functions.php」の一番下に追加して問題ありませんか？

全く同じコードを貼る限り問題ないかと思います。

投稿者:: @maroo

また、『WordPress標準の仕様ではなくなるので、使用する場合は自己責任』というのは
今後サイト全体の表記などがくずれる恐れがあるといった認識で合っていますでしょうか？

WordPressで廃止された機能なので今後セキュリティ的な問題が出てくる可能性はゼロとは言えないかもしれないということです。
「fontタグ　セキュリティ問題」で検索してみても、それっぽいものは出てこなかったので大丈夫なのかもしれませんが、保証はできません。

fontタグは、もともとHTMLでデザインしない（デザインはCSSに任せる）ということで廃止になったと思うので、セキュリティ的な問題はなさそうに見えるけど、こればっかりは僕もわかりません。
https://delaymania.com/201209/web/blog_html_font/

投稿者:: @maroo

その場合はakiraさんのおっしゃる通りadmin_initを使用するのが適切、という事で合ってますでしょうか？

どちらも試してみれば良いと思います。
ダメなら削除して元に戻せば良いだけですし。

投稿者:: @maroo

スパム等のコメントが投稿された際にテキストを定型文に変更し、文字色をグレーにする。

だとしたらどこかでPHPコードでコメント内容を置換していると思うんですけど、この実装方法次第ではそちら側でも対応できるような気がします。

というか、これはもしかしたら管理者が手動で行なっているのでしょうか？
だとしたらこの作業をどこで行なっているかにもよるかもしれません。
管理画面のコメント編集で管理者が行なっているのであれば、Akiraさんの方法で行けるかも。
訪問者が公開ページ上のコメント欄で書き込むということであれば、admin_initだとだめなのかも。
いずれにせよ、詳細が分からないので、やってみないと分からないかもしれません。

marooさん

スパムコメント等の書き込みがあった場合。

管理者が、
該当コメントを削除するのではなく、
コメント文全体を「コメントは削除されました。」に、手作業で置換している。
（削除したことを明記している）

そして、「コメントは削除されました。」に色をつけている。

そんな感じの運用でしょうか。

jQueryでよければ、以下のように書くことでもできるとは思います。

$(function() {
  $(".comment-content:contains('コメントは削除されました。')").css("color", "darkgray");
});

子テーマのJavascript.jsに追記してください。

@maroo さん

スパム等のコメントが投稿された際にテキストを定型文に変更し、文字色をグレーにする。

スパムコメントであれば、そのコメントの削除ではダメなのでしょうか。残しておく必要は、私はないように思えます。

また、reCAPTCHA などでスパムコメントを阻止するのではダメなのでしょうか。そもそも、スパムコメントを阻止できていないことが問題のように思えます。スパム等とのことですので、もしかしたらスパムコメント以外も定型文に変更していらっしゃるのかもしれませんが。

これまで通りスパムコメントを定型文に変更される場合は、<i> タグ を使ってもいいかもしれません。

<i>コメントは削除されました。</i>

そして、子テーマの style.css に以下の CSS を追加します。

.comment-content i:where(:not([class])) {
  color: darkgray;
  font-style: normal;
}

<i> タグの使用が最適なのかと少し疑問に感じます。ただ、PHP で変更せずとも WordPress デフォルトで使えます。

@yhira おそくなってしまい申し訳ありません。

最初に教えていただいたものを試してみたら成功致しました。

HTML等は以下の通りです

現状不具合等は確認できておりません。

ご教授いただきありがとうございます！

<font color="red">赤い文字</font>

add_action('init', function () {
  global $allowedtags;
  $allowedtags['font'] = array(
    'color' => true,
    'size'  => true,
    'face'  => true,
    'font-weight'  => true,
  );
});

@mk2_mk2 遅くなってしまい申し訳ありません。

「削除したことを明記している」

その通りの運用をしています。

教えていただいたjQueryをJavascript.jsに記載し、使用してみたのですがうまくいきませんでした。

せっかく教えていただいたのにかかわらず、いい結果を報告できず申し訳ございません。

$(function() {
  $(".comment-content:contains('コメントは削除されました。')").css("color", "darkgray");
});

@akira コメントを削除してしまった場合、そのコメントに対してコメントをしていただいたものが1段上にいってしまい、表示がおかしくなってしまう為このような手段を取っている次第でございます。

スパムの設定やreCAPTCHAなど導入もしているのですが、様々なやり方で荒らし等のコメントをされてしまう事がある為、手作業で定型文ブロックをして対応しつつ、基本目を光らせておくような状況です。

ご教授頂いた「<i>タグ」を使用して、以下のコードを「style.css」に追加し、実際に試してみたのですが、私の環境では色が変わらずうまくいきませんでした・・・。

せっかく教えていただいたのにもかかわらず、いい結果を報告できず申し訳ありません。

.comment-content i:where(:not([class])) {
  color: darkgray;
  font-style: normal;
}

marooさん

私の環境では上手くいきますよ。

子テーマが有効な状態（jQueryのカスタマイズ有）