【PHP8.x】CURLOPT_DOH_SSL_VERIFYSTATUS定数の使い方

Copy
1<?php
2
3/**
4 * 指定されたURLからコンテンツを取得し、HTTPS通信におけるSSLホスト名検証を行うサンプル関数です。
5 * システムエンジニアを目指す初心者向けに、cURLにおけるSSL/TLS証明書検証の基本を示します。
6 *
7 * @param string $url 取得するURL (HTTPSを推奨)
8 * @return string|false 成功した場合は取得したコンテンツ、失敗した場合はfalse
9 */
10function fetchUrlWithSslVerification(string $url): string|false
11{
12    // cURLセッションを初期化します。
13    $ch = curl_init();
14
15    // 取得するURLを設定します。
16    curl_setopt($ch, CURLOPT_URL, $url);
17
18    // 戻り値を文字列で受け取るように設定します。これにより、取得したコンテンツを直接変数に格納できます。
19    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
20
21    // **SSLピア証明書検証を有効にする**
22    // これは、接続先のサーバーが提示するSSL証明書が、信頼できる認証局 (CA) によって署名されているかを確認します。
23    // 本番環境ではセキュリティのため、常にtrueに設定すべきです。
24    curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
25
26    // **SSLホスト名検証レベルを設定する**
27    // CURLOPT_SSL_VERIFYHOST は、サーバーのSSL証明書に記載されているホスト名が、
28    // アクセスしようとしているURLのホスト名と一致するかどうかを確認します。
29    //
30    // 2: 共通名 (CN) とサブジェクト代替名 (SAN) の両方を検証する (推奨される最も安全な設定)
31    // 0: ホスト名検証を行わない (非推奨。セキュリティリスクがあるため、開発時以外は避けるべき)
32    //
33    // この設定は、中間者攻撃 (Man-in-the-Middle attacks) を防ぐために非常に重要です。
34    // キーワードである CURLOPT_SSL_VERIFYHOST の利用例です。
35    curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
36
37    // cURLセッションを実行し、コンテンツを取得します。
38    $response = curl_exec($ch);
39
40    // cURLの実行中にエラーが発生したかを確認します。
41    if (curl_errno($ch)) {
42        echo 'cURL エラー: ' . curl_error($ch) . PHP_EOL;
43        $response = false;
44    }
45
46    // cURLセッションを閉じ、リソースを解放します。
47    curl_close($ch);
48
49    return $response;
50}
51
52// --- サンプル使用例 ---
53// 信頼できるHTTPS接続のURLを指定してください。
54$targetUrl = 'https://www.google.com';
55
56echo "URLからコンテンツを取得中: " . $targetUrl . PHP_EOL;
57
58$content = fetchUrlWithSslVerification($targetUrl);
59
60if ($content !== false) {
61    echo "コンテンツの取得に成功しました。最初の200文字を表示します:" . PHP_EOL;
62    echo substr($content, 0, 200) . "..." . PHP_EOL;
63} else {
64    echo "コンテンツの取得に失敗しました。エラーメッセージを確認してください。" . PHP_EOL;
65}

このサンプルコードは、PHPのcURLライブラリを用いて指定されたURLからコンテンツを取得する際、HTTPS通信におけるSSL/TLS証明書の検証方法を初心者向けに解説しています。fetchUrlWithSslVerification関数は、取得するURLを文字列で引数に受け取り、成功した場合は取得したコンテンツを文字列として、失敗した場合はfalseを戻り値として返します。

関数ではまずcurl_init()でcURLセッションを初期化し、curl_setopt()を使って各種設定を行います。CURLOPT_URLでアクセス先のURLを設定し、CURLOPT_RETURNTRANSFERをtrueにすることで、取得したコンテンツを直接変数に格納できるようにします。

セキュリティ上非常に重要なのがSSL検証に関する設定です。CURLOPT_SSL_VERIFYPEERをtrueに設定することで、接続先のサーバーが提示するSSL証明書が信頼できる認証局（CA）によって発行されたものかを確認します。さらに、CURLOPT_SSL_VERIFYHOSTを2に設定することで、サーバーのSSL証明書に記載されているホスト名が、アクセスしようとしているURLのホスト名と一致するかどうかを厳密に検証します。このCURLOPT_SSL_VERIFYHOST, 2は、共通名とサブジェクト代替名の両方を検証する最も推奨される設定であり、中間者攻撃を防ぐ上で不可欠なセキュリティ対策です。

設定後、curl_exec()でcURLセッションを実行し、コンテンツを取得します。もしエラーが発生した場合はcurl_errno()で検出し、エラーメッセージを表示します。最後にcurl_close()でセッションを閉じ、使用したリソースを解放します。この一連の処理により、セキュアなWeb通信の基本を学ぶことができます。

Copy
1<?php
2
3/**
4 * 指定されたURLからコンテンツを取得します。
5 * SSL証明書の検証を有効または無効にできます。
6 *
7 * @param string $url 取得するURL。
8 * @param bool $verifyPeer SSL証明書の検証を有効にするか (true) 無効にするか (false)。
9 *                         セキュリティ上の理由から、通常はtrueに設定することを強く推奨します。
10 * @return string|false 取得したコンテンツ、またはエラーが発生した場合はfalse。
11 */
12function fetchUrlContent(string $url, bool $verifyPeer = true)
13{
14    // cURLセッションを初期化
15    $ch = curl_init();
16
17    // 取得するURLを設定
18    curl_setopt($ch, CURLOPT_URL, $url);
19
20    // 取得したデータを文字列として返却する設定 (trueにしないと直接出力される)
21    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
22
23    // SSL証明書の検証を設定
24    // CURLOPT_SSL_VERIFYPEERは、接続先のSSL証明書が本物であるか検証するかどうかを決定します。
25    // true: サーバの証明書が信頼できる認証局によって発行され、有効期限内であるかなどを検証します。
26    //       これにより、中間者攻撃などから通信を保護し、セキュリティを確保します。
27    //       実運用環境では、このオプションを常にtrueに設定することを強く推奨します。
28    // false: 証明書の検証を行いません。自己署名証明書や期限切れの証明書を持つサーバにも接続できますが、
29    //        通信の安全性が保証されなくなり、セキュリティリスクが非常に高まります。
30    //        テスト環境や特定の閉じたネットワークでのみ使用を検討し、本番環境では絶対に避けるべきです。
31    curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, $verifyPeer);
32
33    // PHP 5.4.0 以降では CURLOPT_SSL_VERIFYPEER が true の場合、
34    // ホスト名の検証 (CURLOPT_SSL_VERIFYHOST = 2) も自動的に行われます。
35    // そのため、CURLOPT_SSL_VERIFYHOST を明示的に設定する必要はほとんどありません。
36
37    // リクエストを実行し、結果を取得
38    $response = curl_exec($ch);
39
40    // cURL操作中にエラーが発生したかチェック
41    if (curl_errno($ch)) {
42        echo 'cURL Error (' . curl_errno($ch) . '): ' . curl_error($ch) . PHP_EOL;
43        curl_close($ch);
44        return false;
45    }
46
47    // cURLセッションを閉じる
48    curl_close($ch);
49
50    return $response;
51}
52
53// --- サンプル使用例 ---
54
55// 例1: SSL証明書の検証を有効にしてコンテンツを取得 (推奨されるセキュリティ設定)
56echo "--- 例1: SSL検証あり (推奨) ---" . PHP_EOL;
57$secureUrl = 'https://example.com/'; // 存在する安全なHTTPS URL
58$secureContent = fetchUrlContent($secureUrl, true);
59if ($secureContent !== false) {
60    echo "URL: " . $secureUrl . PHP_EOL;
61    echo "コンテンツの長さ: " . strlen($secureContent) . " バイト" . PHP_EOL;
62    // 必要であればコンテンツの一部を表示できます
63    // echo "一部コンテンツ: " . substr($secureContent, 0, 100) . "..." . PHP_EOL;
64} else {
65    echo "コンテンツの取得に失敗しました。" . PHP_EOL;
66}
67echo PHP_EOL;
68
69// 例2: SSL証明書の検証を無効にしてコンテンツを取得 (非推奨、セキュリティリスクあり)
70// !! 注意: この設定はセキュリティリスクを伴うため、本番環境では絶対に避けてください。
71// !!       自己署名証明書など、特定のテスト環境でのみ使用を検討してください。
72echo "--- 例2: SSL検証なし (非推奨、テストや特殊な環境でのみ使用) ---" . PHP_EOL;
73$insecureUrl = 'https://self-signed.example.com/'; // 自己署名証明書など、検証失敗する可能性のあるURLを想定
74                                                // この例では 'https://example.com/' を再利用しますが、
75                                                // 実際の検証挙動はサーバによります。
76$insecureContent = fetchUrlContent('https://example.com/', false);
77if ($insecureContent !== false) {
78    echo "URL: " . 'https://example.com/' . PHP_EOL;
79    echo "コンテンツの長さ: " . strlen($insecureContent) . " バイト" . PHP_EOL;
80    // echo "一部コンテンツ: " . substr($insecureContent, 0, 100) . "..." . PHP_EOL;
81} else {
82    echo "コンテンツの取得に失敗しました。" . PHP_EOL;
83}

このPHPサンプルコードは、cURLライブラリを利用して指定されたURLからWebコンテンツを取得するfetchUrlContent関数を定義しています。この関数の中心となるのは、HTTPS接続時のセキュリティを管理するCURLOPT_SSL_VERIFYPEERオプションの設定です。

CURLOPT_SSL_VERIFYPEERは、接続先のサーバが提示するSSL証明書が本物であるか、信頼できる認証局によって発行され、有効期限内であるかなどを検証するかどうかを制御します。関数の引数$verifyPeerがtrueの場合、この検証が有効になり、通信の安全性が確保されます。これは中間者攻撃などからデータを保護するため、特に本番環境では常にtrueに設定することが強く推奨される重要なセキュリティ対策です。

一方、$verifyPeerをfalseに設定すると、SSL証明書の検証は行われません。これにより、自己署名証明書や期限切れの証明書を持つサーバにも接続できるようになりますが、通信の信頼性が保証されなくなり、セキュリティリスクが非常に高まります。そのため、この設定はデバッグや特定のテスト環境でのみ慎重に検討し、本番環境では絶対に使用すべきではありません。

fetchUrlContent関数は、取得するURLを$url引数で受け取り、SSL検証の有効・無効を$verifyPeer引数で設定します。処理が成功した場合は取得したコンテンツの文字列を返し、cURL操作中にエラーが発生した場合はfalseを返します。