HDWebmobile Formula Pricing

顧客が入力した数値から数式を使って商品価格を算出します。PHPのeval()は一切使わず、安全に評価されます。

• WordPress.org: https://wordpress.org/plugins/hdwebmobile-formula-pricing/
• 必要環境: WordPress 6.9+、WooCommerce、PHP 7.4+
• ライセンス: GPLv2以降

説明

HDWebmobile Formula Pricingを使用すると、顧客は商品ページで寸法や数量を入力でき、そのフィールド名を使った数式（例: カスタムカット素材を面積で価格設定する場合の 10 + width * height * 0.05）に基づいて、商品価格がライブで算出されます。これは、カスタムサイズの生地、額装プリント、彫刻品、または寸法や数量で価格設定される商品（単なる定額ではないもの）を販売するストアにとって、実際に頻繁に発生するニーズです。

このプラグインが存在する理由

競合する「Custom Product Addons Pro」プラグインは、計算時に販売者の数式テキストをそのままPHPのeval()に渡すことで数式ベースの価格設定を実装していました（CVE-2026-4001）— これは認証なしのリモートコード実行の脆弱性です。このプラグインは、その脆弱性クラス全体を設計上排除しています:

• 数式は文字単位でトークン化され、厳格な許可セット（数値、自分で設定したフィールド名、四則演算子と括弧）のみに制限されます。数式テキスト内のその他のもの（他の文字列、関数呼び出しに見えるパターン、特殊文字）は、保存時に数式が完全に拒否されます。
• トークンストリームは、手書きの小さな算術パーサーによって評価されます。このプラグインのどこにもeval()、create_function()、動的な関数ディスパッチは一切ありません。実行できる操作は、通常の数値の加算、減算、乗算、除算のみです。