【PHP8.x】FILTER_FLAG_STRIP_BACKTICK定数の使い方

Copy
1<?php
2
3/**
4 * 特定の特殊文字（低ASCII文字）とバッククォートを除去して文字列をサニタイズします。
5 *
6 * システムエンジニアを目指す初心者向けに、filter_var関数と関連フラグの基本的な使い方を示します。
7 * 主にユーザーからの入力値などを、データベース保存や画面表示の前に安全に処理する際に役立ちます。
8 *
9 * @param string $inputString サニタイズする元の文字列
10 * @return string サニタイズされた文字列
11 */
12function sanitizeInputString(string $inputString): string
13{
14    // filter_var関数は、指定されたフィルターとフラグを使って変数をサニタイズします。
15    // FILTER_UNSAFE_RAW: このフィルターは、それ自体ではデフォルトで何も変換せず、
16    //                    主に 'flags' オプションと組み合わせて使用されます。
17    //
18    // フラグの組み合わせ:
19    // FILTER_FLAG_STRIP_BACKTICK: バッククォート文字 (`) を除去します。
20    // FILTER_FLAG_STRIP_LOW: ASCII値が32未満の制御文字（例: タブ、改行、ヌル文字など）を除去します。
21    $sanitizedString = filter_var(
22        $inputString,
23        FILTER_UNSAFE_RAW,
24        [
25            'flags' => FILTER_FLAG_STRIP_BACKTICK | FILTER_FLAG_STRIP_LOW
26        ]
27    );
28
29    return $sanitizedString;
30}
31
32// --- サンプル使用例 ---
33
34// バッククォート、タブ、改行、低ASCII文字 (例: \x01 はSOH - Start of Header) を含む文字列
35$originalText = "これは`バッククォート`と\tタブ\nそして\x01低ASCII文字を含む文字列です。";
36
37echo "元の文字列:\n";
38// var_export を使うと、見えない制御文字もエスケープされて表示され、違いが分かりやすくなります。
39echo var_export($originalText, true) . "\n\n";
40
41// 文字列をサニタイズ
42$cleanedText = sanitizeInputString($originalText);
43
44echo "サニタイズ後の文字列:\n";
45echo var_export($cleanedText, true) . "\n";
46
47// 別の例: スクリプト実行を思わせるバッククォートとヌル文字 (\x00)
48$anotherText = "コマンド`ls -la`を実行。\x00危険な\x10文字。";
49echo "\n元の文字列 (別の例):\n";
50echo var_export($anotherText, true) . "\n\n";
51
52$cleanedAnotherText = sanitizeInputString($anotherText);
53echo "サニタイズ後の文字列 (別の例):\n";
54echo var_export($cleanedAnotherText, true) . "\n";
55
56?>

このPHPサンプルコードは、filter_var関数と、文字列から特定の特殊文字を除去するためのフラグの基本的な使い方を説明しています。特に、ユーザーからの入力値を安全に処理する際に役立つ技術です。

sanitizeInputString関数は、サニタイズしたい文字列を$inputString引数として受け取ります。この関数内では、filter_var関数を使って文字列を処理し、サニタイズ済みの文字列を戻り値として返します。

FILTER_UNSAFE_RAWフィルターは、それ自体では文字列を大きく変更せず、主に他のフラグと組み合わせて使われます。ここで重要なのは、FILTER_FLAG_STRIP_BACKTICKとFILTER_FLAG_STRIP_LOWという二つのフラグです。FILTER_FLAG_STRIP_BACKTICKは、バッククォート文字（）を文字列から除去します。また、FILTER_FLAG_STRIP_LOW`は、タブや改行、ヌル文字などのASCII値が32未満の制御文字を除去する役割を持っています。

これらのフラグを組み合わせることで、意図しないコマンド実行やデータの破損につながる可能性のある文字を取り除き、ウェブアプリケーションのセキュリティを高めることができます。システムエンジニアとして、ユーザーからの入力値の安全な処理は非常に重要な基礎知識となります。

Copy
1<?php
2
3/**
4 * 指定された文字列からバックティック (`) 文字を除去します。
5 *
6 * この関数は `filter_var()` を `FILTER_UNSAFE_RAW` フィルターと
7 * `FILTER_FLAG_STRIP_BACKTICK` フラグを組み合わせて使用し、
8 * 入力文字列からバックティックを除去したサニタイズされた文字列を返します。
9 * これは、特にユーザー入力から特定の記号を除去したい場合に有用です。
10 *
11 * @param string $input 処理する元の文字列
12 * @return string バックティックが除去されたサニタイズ済みの文字列
13 */
14function stripBackticks(string $input): string
15{
16    // filter_var() 関数を使用して文字列をサニタイズします。
17    // FILTER_UNSAFE_RAW は、デフォルトで入力値をそのまま返しますが、
18    // フラグと組み合わせることで特定の変換を適用します。
19    // FILTER_FLAG_STRIP_BACKTICK は、文字列からバックティック (`) を除去するフラグです。
20    $sanitizedString = filter_var(
21        $input,
22        FILTER_UNSAFE_RAW,
23        FILTER_FLAG_STRIP_BACKTICK
24    );
25
26    // filter_var() は失敗時に false を返す可能性があるため、
27    // 常に文字列を返すように明示的にキャストします。（このケースでは実質的に発生しませんが安全のため）
28    return (string) $sanitizedString;
29}
30
31// サンプルコードの実行例
32
33$originalText1 = "この文字列には`バックティック`が含まれています。";
34echo "元の文字列: " . $originalText1 . PHP_EOL;
35echo "処理後の文字列: " . stripBackticks($originalText1) . PHP_EOL;
36echo PHP_EOL;
37
38$originalText2 = "別の例: `コード`や`コマンド`などが含まれる場合。";
39echo "元の文字列: " . $originalText2 . PHP_EOL;
40echo "処理後の文字列: " . stripBackticks($originalText2) . PHP_EOL;
41echo PHP_EOL;
42
43$originalText3 = "バックティックがない文字列はそのままです。";
44echo "元の文字列: " . $originalText3 . PHP_EOL;
45echo "処理後の文字列: " . stripBackticks($originalText3) . PHP_EOL;
46echo PHP_EOL;
47
48?>

このPHPコードは、文字列からバックティック（`）文字を除去する方法を示しています。これは特に、ユーザーからの入力データに含まれる不要な文字を安全に取り除く（サニタイズする）必要がある場合に役立ちます。

stripBackticks関数は、引数として処理する元の文字列（$input）を受け取り、バックティックが除去された新しい文字列を戻り値として返します。この処理には、PHPに組み込まれているfilter_var()関数が使用されます。filter_var()は、データの検証やサニタイズを行うための汎用的な関数です。

ここではfilter_var()にFILTER_UNSAFE_RAWというフィルターと、定数FILTER_FLAG_STRIP_BACKTICKというフラグを組み合わせています。FILTER_UNSAFE_RAWは通常、入力値をそのまま返しますが、FILTER_FLAG_STRIP_BACKTICKフラグと組み合わせることで、文字列中のすべてのバックティック文字を自動的に取り除きます。これにより、元の文字列に含まれる「`」が削除され、クリーンな文字列が得られます。

このコードを実行すると、サンプルとして用意された文字列からバックティックが取り除かれた結果が出力され、バックティックが含まれない文字列はそのまま出力されることを確認できます。