【PHP8.x】CURLOPT_DOH_SSL_VERIFYHOST定数の使い方

Copy
1<?php
2
3/**
4 * DNS-over-HTTPS (DoH) を利用してHTTPリクエストを実行し、
5 * DOHサーバーのSSL証明書ホスト名検証を設定するサンプルコードです。
6 *
7 * @param string $targetUrl リクエストを送信する最終的なターゲットURL。
8 * @param string $dohServerUrl DNS-over-HTTPS (DoH) サーバーのURL。
9 * @return string|null リクエストのレスポンスボディ、またはエラーが発生した場合はnull。
10 */
11function performDohRequestWithHostVerification(string $targetUrl, string $dohServerUrl): ?string
12{
13    // cURLセッションを初期化します。
14    $ch = curl_init();
15
16    if ($ch === false) {
17        echo "エラー: cURLセッションの初期化に失敗しました。\n";
18        return null;
19    }
20
21    // DNS-over-HTTPS (DoH) を有効にするために、DOHサーバーのURLを設定します。
22    // これにより、名前解決が指定されたDoHサーバー経由で行われるようになります。
23    curl_setopt($ch, CURLOPT_DOH_URL, $dohServerUrl);
24
25    // CURLOPT_DOH_SSL_VERIFYHOST オプションは、DOHサーバーのSSL証明書のホスト名を検証するかどうかを設定します。
26    // これは、名前解決のために接続するDOHサーバーが正当なものであることを確認するために重要です。
27    //
28    // 値:
29    //   0: ホスト名を検証しない (非推奨、セキュリティリスクがあります)。
30    //   1: 証明書のコモンネーム (CN) のみを検証します。
31    //   2: 証明書のコモンネーム (CN) とサブジェクト代替名 (SAN) を検証します (推奨)。
32    //      この値は、ターゲットサーバーの検証に使用される CURLOPT_SSL_VERIFYHOST と同様の役割を持ちます。
33    curl_setopt($ch, CURLOPT_DOH_SSL_VERIFYHOST, 2);
34
35    // リクエストのターゲットURLを設定します。
36    curl_setopt($ch, CURLOPT_URL, $targetUrl);
37
38    // リクエストの結果を文字列として返却するように設定します。
39    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
40
41    // 接続時に最大10秒間待機します。
42    curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, 10);
43
44    // cURL操作全体で最大30秒間待機します。
45    curl_setopt($ch, CURLOPT_TIMEOUT, 30);
46
47    // 最終的なターゲットサーバーのSSL証明書を検証するかどうかを設定します。
48    // DOHサーバーの検証とは別に、通信相手のサーバーの検証も必要です。
49    curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
50    curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2); // ホスト名検証 (CNとSANをチェック)
51
52    // cURLリクエストを実行します。
53    $response = curl_exec($ch);
54
55    // cURLリクエスト中にエラーが発生したかチェックします。
56    if (curl_errno($ch)) {
57        echo 'cURLエラー: ' . curl_error($ch) . "\n";
58        $response = null;
59    }
60
61    // cURLセッションを閉じ、リソースを解放します。
62    curl_close($ch);
63
64    return $response;
65}
66
67// --- サンプル使用例 ---
68$targetUrl = "https://www.google.com/"; // アクセスしたいWebサイト
69$dohServerUrl = "https://cloudflare-dns.com/dns-query"; // 使用するDoHサーバー (例: Cloudflare Public DNS)
70
71echo "DoHサーバー (" . $dohServerUrl . ") を使用して " . $targetUrl . " にアクセスを試みています。\n";
72
73$content = performDohRequestWithHostVerification($targetUrl, $dohServerUrl);
74
75if ($content !== null) {
76    echo "リクエストが成功しました。レスポンスの一部を表示します:\n";
77    // レスポンスの最初の200文字を表示します。
78    echo substr($content, 0, 200) . "...\n";
79} else {
80    echo "リクエストに失敗しました。詳細については上記のエラーメッセージを確認してください。\n";
81}
82
83?>

このPHPのサンプルコードは、DNS-over-HTTPS (DoH) を利用してウェブサイトへHTTPリクエストを送信し、特にDOHサーバーのSSL証明書ホスト名検証を設定する方法を示しています。関数performDohRequestWithHostVerificationは、アクセスしたいウェブサイトのURLを$targetUrl、名前解決に利用するDOHサーバーのURLを$dohServerUrlとして受け取ります。

コードの中心となるのは、CURLOPT_DOH_SSL_VERIFYHOSTオプションです。これは、名前解決のために接続するDOHサーバーが正当なものであることを確認するため、そのSSL証明書に含まれるホスト名を検証するかどうかを設定します。このオプションに2を設定することで、コモンネームとサブジェクト代替名の両方を検証し、中間者攻撃などからDOH通信を保護する、最も推奨されるセキュリティレベルを実現しています。

関数内では、まずcURLセッションを初期化し、CURLOPT_DOH_URLで利用するDOHサーバーを指定した後、CURLOPT_DOH_SSL_VERIFYHOSTでDOHサーバーの検証設定を行っています。DOHサーバーの検証とは別に、最終的なターゲットウェブサイトのSSL証明書を検証するためには、通常のCURLOPT_SSL_VERIFYPEERとCURLOPT_SSL_VERIFYHOSTも適切に設定することが重要です。

リクエストが成功した場合、ウェブサイトからのレスポンスボディが文字列として返されますが、cURL処理中にエラーが発生した場合はnullが返されます。このコードは、PHPでセキュアなDoH通信を実装する際の基本的な手順とセキュリティ設定の重要性を理解するのに役立ちます。

Copy
1<?php
2
3/**
4 * 指定されたHTTPS URLからコンテンツを安全に取得します。
5 * SSL/TLS証明書の検証を有効にして、中間者攻撃などのリスクを軽減します。
6 *
7 * @param string $url 取得するHTTPS URL
8 * @return string|null 取得したコンテンツ、またはエラー発生時はnull
9 */
10function fetchSecureContent(string $url): ?string
11{
12    // cURLセッションを初期化
13    $ch = curl_init();
14
15    // 取得するURLを設定
16    curl_setopt($ch, CURLOPT_URL, $url);
17
18    // 戻り値を文字列で受け取るように設定（trueにしないと、curl_exec()が直接出力する）
19    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
20
21    // 接続先のSSL証明書が有効であるか検証する
22    // trueに設定すると、信頼できる認証局によって発行された有効な証明書であることを確認します。
23    // セキュリティ上の理由から、本番環境では常に true に設定することを強く推奨します。
24    curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
25
26    // SSL証明書に記載されているホスト名が、接続先のホスト名と一致するか検証する
27    // 2 に設定すると、Common Name (CN) または Subject Alternative Names (SANs) を検証します。
28    // セキュリティ上の理由から、本番環境では常に 2 に設定することを強く推奨します。
29    curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
30
31    // 必要であれば、独自のCA証明書バンドルへのパスを指定することもできます
32    // curl_setopt($ch, CURLOPT_CAINFO, '/path/to/cacert.pem');
33    // curl_setopt($ch, CURLOPT_CAPATH, '/path/to/ca_certs_directory/');
34
35    // HTTP/2 を有効にする（可能な場合）
36    curl_setopt($ch, CURLOPT_HTTP_VERSION, CURL_HTTP_VERSION_2_0);
37
38    // リクエストを実行し、結果を取得
39    $response = curl_exec($ch);
40
41    // cURLエラーが発生した場合の処理
42    if (curl_errno($ch)) {
43        error_log('cURL Error: ' . curl_error($ch) . ' for URL: ' . $url);
44        $response = null; // エラー時はnullを返す
45    }
46
47    // cURLセッションを閉じる
48    curl_close($ch);
49
50    return $response;
51}
52
53// --- 使用例 ---
54// 実際に存在するHTTPSサイトのURLを指定してください
55$targetUrl = 'https://www.php.net/'; // 例: PHP公式サイト
56
57echo "URLからコンテンツを取得中: " . $targetUrl . PHP_EOL;
58
59$content = fetchSecureContent($targetUrl);
60
61if ($content !== null) {
62    echo "コンテンツの一部 (最初の200文字):" . PHP_EOL;
63    echo substr($content, 0, 200) . "..." . PHP_EOL;
64    echo "取得完了。" . PHP_EOL;
65} else {
66    echo "コンテンツの取得に失敗しました。ログを確認してください。" . PHP_EOL;
67}
68
69?>

このサンプルコードは、PHP 8のcURL拡張機能を利用して、HTTPSプロトコルを用いたWebコンテンツを安全に取得する方法を示しています。fetchSecureContent関数は、指定されたURLからコンテンツを取得し、その過程で重要なセキュリティ検証を行います。

関数fetchSecureContentは、引数として取得したいHTTPSのURLを文字列（string $url）で受け取ります。処理が成功した場合は取得したコンテンツの文字列を、エラーが発生した場合はnullを戻り値として返します（?string）。

このコードの核心は、セキュリティを高めるための二つのcURLオプション設定にあります。CURLOPT_SSL_VERIFYPEERオプションをtrueに設定することで、接続先のサーバーが提示するSSL/TLS証明書が、信頼できる認証局によって発行された有効なものであるかを厳しく検証します。これは、偽装されたサーバーへの接続を防ぎ、通信の信頼性を保証するために非常に重要です。

さらに、CURLOPT_SSL_VERIFYHOSTオプションを2に設定すると、SSL証明書に記載されたホスト名が、実際にアクセスしようとしているURLのホスト名と一致するかを確認します。これにより、証明書が不正に利用されていないことを確認し、中間者攻撃などのリスクを大幅に軽減します。これらのセキュリティ設定は、安全なウェブ通信を実現するために本番環境で常に有効にすることが強く推奨されます。