【PHP8.x】FILTER_SANITIZE_ADD_SLASHES定数の使い方

Copy
1<?php
2
3/**
4 * ユーザー入力のサニタイズ処理の例を示します。
5 *
6 * この関数は、以下の二つの異なるサニタイズフィルターの利用方法を実演します。
7 * 1. FILTER_SANITIZE_ADD_SLASHES: 主にデータベースへの挿入など、
8 *    文字列中の引用符（シングルクォート、ダブルクォート、バックスラッシュ、NULL文字）をエスケープする目的で利用します。
9 *    これらの文字の前にバックスラッシュを追加します。
10 * 2. FILTER_SANITIZE_FULL_SPECIAL_CHARS: 主にWebページへのHTML出力時にクロスサイトスクリプティング (XSS) 攻撃を防ぐため、
11 *    HTML特殊文字（<, >, &, ", '）を対応するHTMLエンティティ（&lt;, &gt;, &amp;, &quot;, &#039;）に変換します。
12 *
13 * システムエンジニアを目指す初心者向けに、それぞれのフィルターがどのような目的で、
14 * どのような結果をもたらすかを理解しやすくするためのサンプルです。
15 *
16 * @param string $userInput サニタイズ対象のユーザー入力文字列
17 * @return void
18 */
19function sanitizeUserInputExample(string $userInput): void
20{
21    echo "<h3>元の入力文字列:</h3>";
22    // Webページに表示する際、XSS攻撃を防ぐために元の入力もHTMLエスケープして表示します。
23    echo htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8') . "\n\n";
24
25    // FILTER_SANITIZE_ADD_SLASHES の適用例
26    // 主にデータベース挿入前など、文字列中の引用符をエスケープする目的で利用します。
27    // 例: ' => \', " => \", \ => \\, NULL => \0
28    $sanitizedForDb = filter_var($userInput, FILTER_SANITIZE_ADD_SLASHES);
29
30    echo "<h3>FILTER_SANITIZE_ADD_SLASHES 適用後 (データベース保存を想定):</h3>";
31    // フィルターの効果を確認するために、エスケープされた文字列をHTMLエスケープして表示します。
32    // このフィルターはHTML特殊文字を処理しないため、HTMLに直接出力する際は別途 htmlspecialchars() などが必要です。
33    echo htmlspecialchars($sanitizedForDb, ENT_QUOTES, 'UTF-8') . "\n\n";
34
35    // FILTER_SANITIZE_FULL_SPECIAL_CHARS の適用例
36    // 主にWebページへの表示前など、HTML特殊文字をエスケープする目的で利用します。
37    // 例: < => &lt;, > => &gt;, & => &amp;, " => &quot;, ' => &#039;
38    $sanitizedForHtml = filter_var($userInput, FILTER_SANITIZE_FULL_SPECIAL_CHARS);
39
40    echo "<h3>FILTER_SANITIZE_FULL_SPECIAL_CHARS 適用後 (HTML表示を想定):</h3>";
41    // このフィルターは既にHTMLエンティティに変換しているため、そのまま出力します。
42    echo $sanitizedForHtml . "\n\n";
43}
44
45// --- サンプル実行 ---
46
47// HTML特殊文字やクォート、バックスラッシュを含む文字列
48$sampleInput = "Hello, I'm a \"test\" user! <script>alert('XSS');</script> & More.";
49sanitizeUserInputExample($sampleInput);
50
51echo "<hr>"; // 結果を見やすくするための区切り線
52
53// 別の入力例（絵文字とNULL文字を模倣した表現）
54$anotherInput = "What's up? \"Quoted\" text and a backslash \\. Also, an emoji: 😊\0null_char_here";
55sanitizeUserInputExample($anotherInput);
56
57?>

このPHPサンプルコードは、システムエンジニアを目指す初心者の方へ、ユーザーからの入力を安全に処理する「サニタイズ」の基本的な考え方と具体的な実装方法を説明しています。特にセキュリティ対策として重要な二つの異なるフィルターの利用方法を提示しています。

一つ目のFILTER_SANITIZE_ADD_SLASHESは、主にユーザー入力をデータベースに保存する際などに活用されます。このフィルターは、文字列中のシングルクォート、ダブルクォート、バックスラッシュ、NULL文字といった特定の文字の前にバックスラッシュを追加してエスケープ処理を行います。これにより、SQLインジェクションなどのセキュリティ脆弱性やデータの破損を防ぎ、安全なデータ保存を助けます。

二つ目のFILTER_SANITIZE_FULL_SPECIAL_CHARSは、Webページにユーザー入力内容を表示する際に利用されます。このフィルターは、<や>、&、"、'といったHTML特殊文字を、表示には影響しないHTMLエンティティ（例: <を<）に変換します。これにより、クロスサイトスクリプティング（XSS）攻撃を防ぎ、Webページの安全性を高めます。

サンプルコード内のsanitizeUserInputExample関数は、引数として受け取った$userInput文字列に対してこれらのフィルターを適用し、サニタイズされた結果を画面に出力しています。この関数の戻り値はvoidであり、処理結果は画面表示を通じて確認できます。これにより、入力データの利用目的（データベースへの保存か、Webページへの表示か）に応じて、適切なサニタイズフィルターを選択することの重要性を理解できます。

Copy
1<?php
2
3/**
4 * ユーザー入力をHTML出力用にサニタイズします。
5 *
6 * この関数は、クロスサイトスクリプティング (XSS) 攻撃を防ぐために、
7 * ユーザーから受け取った文字列内のHTML特殊文字をHTMLエンティティに変換します。
8 * 例えば、`<` は `&lt;` に、`>` は `&gt;` に変換されます。
9 *
10 * @param string $input サニタイズする元の文字列。
11 * @return string サニタイズされた文字列。
12 */
13function sanitizeForHtmlOutput(string $input): string
14{
15    // filter_var() 関数は、与えられた変数を指定されたフィルターでフィルタリングします。
16    // 第1引数: フィルタリングする値。
17    // 第2引数: 適用するフィルター。
18    // FILTER_SANITIZE_SPECIAL_CHARS は、HTMLの特殊文字（<, >, &, ", ' など）を
19    // 対応するHTMLエンティティに変換し、XSS攻撃のリスクを軽減します。
20    $sanitizedInput = filter_var($input, FILTER_SANITIZE_SPECIAL_CHARS);
21
22    return $sanitizedInput;
23}
24
25// サンプルコード: ユーザーからの入力を模倣
26$unsafeInput = "<script>alert('XSS Attack!');</script>この文字列には & '特殊文字' が含まれています。";
27
28echo "元の入力: " . $unsafeInput . PHP_EOL;
29
30// 関数を使って入力をサニタイズ
31$safeOutput = sanitizeForHtmlOutput($unsafeInput);
32
33echo "サニタイズ後の出力: " . $safeOutput . PHP_EOL;
34
35// 別の例
36$comment = "こんにちは！これは<b>太字</b>のコメントです。";
37echo "元のコメント: " . $comment . PHP_EOL;
38$safeComment = sanitizeForHtmlOutput($comment);
39echo "サニタイズ後のコメント: " . $safeComment . PHP_EOL;
40
41?>

このサンプルコードは、ユーザーから受け取った文字列をウェブページに表示する際に、安全性を確保するための処理を示しています。特に、悪意のあるスクリプトの埋め込みによるクロスサイトスクリプティング（XSS）攻撃を防ぐことを目的としています。

コード内のsanitizeForHtmlOutput関数は、指定された文字列 $input を引数として受け取ります。この関数はPHPのfilter_var関数と定数FILTER_SANITIZE_SPECIAL_CHARSを組み合わせて使用しています。FILTER_SANITIZE_SPECIAL_CHARSは、HTMLにおいて特別な意味を持つ文字（例えば<、>、&、"、'など）を、それぞれ対応するHTMLエンティティ（例えば<、>、&、"、'）に変換します。

このように変換することで、本来HTMLタグとして解釈されるべきではない文字列が、単なる表示用のテキストとして扱われるようになります。関数の戻り値は、サニタイズされて安全になった文字列です。

サンプルでは、危険なスクリプトを含む可能性のある入力や、HTMLタグとして解釈されうる文字を含む入力が、この関数を通してどのように無害化され、安全な形式で出力されるかを示しています。これにより、ユーザー入力をそのまま表示する際のセキュリティリスクを大幅に軽減できます。