【PHP8.x】FILTER_SANITIZE_FULL_SPECIAL_CHARS定数の使い方

Copy
1<?php
2
3/**
4 * HTMLの特殊文字をサニタイズする関数。
5 *
6 * FILTER_SANITIZE_FULL_SPECIAL_CHARS 定数を使用して、入力文字列に含まれる
7 * HTMLの特殊文字（例: <, >, &, ", '）をHTMLエンティティに変換します。
8 * これはクロスサイトスクリプティング (XSS) 攻撃などのセキュリティ脆弱性から
9 * アプリケーションを保護するために重要です。
10 *
11 * @param string $input サニタイズする元の文字列。
12 * @return string サニタイズされた文字列。
13 */
14function sanitizeHtmlInput(string $input): string
15{
16    // filter_var 関数と FILTER_SANITIZE_FULL_SPECIAL_CHARS 定数を使って、
17    // HTMLの特殊文字をエスケープします。
18    // 例: "<script>alert('XSS')</script>" は "&lt;script&gt;alert(&#039;XSS&#039;)&lt;/script&gt;" に変換されます。
19    $sanitizedInput = filter_var($input, FILTER_SANITIZE_FULL_SPECIAL_CHARS);
20
21    return $sanitizedInput;
22}
23
24// サンプルコードの実行例
25$userInputDangerous = "<script>alert('Hello, XSS!');</script>あなたの名前は？";
26$userInputNormal = "ユーザー名: John Doe & Co. 'お気に入り'のサイト";
27
28echo "元の危険な入力: " . $userInputDangerous . PHP_EOL;
29echo "サニタイズ後の入力: " . sanitizeHtmlInput($userInputDangerous) . PHP_EOL;
30echo PHP_EOL; // 空行で区切りを分かりやすく
31
32echo "元の通常の入力: " . $userInputNormal . PHP_EOL;
33echo "サニタイズ後の入力: " . sanitizeHtmlInput($userInputNormal) . PHP_EOL;
34
35?>

このPHPサンプルコードは、Webアプリケーションのセキュリティ対策に不可欠な「サニタイズ」処理を示しています。FILTER_SANITIZE_FULL_SPECIAL_CHARSは、PHPのフィルター拡張機能が提供する定数で、HTMLの特殊文字を安全な形式に変換するために使用されます。具体的には、<、>、&、"、'といった文字を、それぞれ<、>、&、"、'といったHTMLエンティティと呼ばれる形式に変換します。

コード内のsanitizeHtmlInput関数は、引数として受け取った文字列 $input に対して、filter_var関数とこのFILTER_SANITIZE_FULL_SPECIAL_CHARS定数を適用しています。これにより、例えば入力された<script>alert('XSS')</script>のような悪意のある文字列は、<script>alert('XSS')</script>のように変換され、スクリプトとして実行されることを防ぎます。

この関数の戻り値は、サニタイズ処理が施され、HTML表示時に安全な状態になった文字列です。このような処理は、ユーザーからの入力をそのままWebページに表示する際に、クロスサイトスクリプティング（XSS）攻撃などのセキュリティ脆弱性からアプリケーションを保護するために非常に重要です。システムエンジニアを目指す方は、ユーザー入力を扱う際の基本的なセキュリティ対策として、必ずサニタイズ処理を行うように心がけてください。

Copy
1<?php
2
3/**
4 * ユーザー入力から安全な整数値を取得します。
5 *
6 * この関数は、入力文字列から数値以外の文字（ただし、先頭のマイナス記号は除く）を
7 * 除去し、結果を整数値として返します。
8 * 主にウェブフォームなどからのユーザー入力を処理する際に、意図しない文字が混入した
9 * 数値データを安全に扱うために使用されます。
10 *
11 * @param string $input サニタイズする入力文字列。
12 * @return int|false サニタイズされ整数に変換された値。
13 *                   もし入力が完全に数値以外の文字のみで構成され、結果が空文字になった場合、
14 *                   または数値として適切でない場合は false を返します。
15 */
16function getSafeIntegerFromInput(string $input): int|false
17{
18    // PHP 8ではユニオン型（int|false）が戻り値の型として利用可能です。
19
20    // FILTER_SANITIZE_NUMBER_INT は、数値、および先頭のハイフン(-)以外の文字をすべて除去します。
21    // 結果は文字列として返されます。例えば "abc123def" は "123" になります。
22    // "10.5" は "105" になる点に注意してください（小数点も除去されます）。
23    $sanitizedString = filter_var($input, FILTER_SANITIZE_NUMBER_INT);
24
25    // filter_var は成功しても文字列を返すため、結果が実際に数値であるかを確認します。
26    // 空文字列や、数値として解釈できない場合（例えば、"-"だけが残った場合）を処理します。
27    if ($sanitizedString === false || !is_numeric($sanitizedString) || $sanitizedString === '') {
28        return false; // サニタイズの結果が数値として無効な場合は false を返す
29    }
30
31    // 安全と判断された文字列を整数にキャストして返します。
32    return (int) $sanitizedString;
33}
34
35// --- サンプル使用例 ---
36
37echo "--- 数値のサニタイズの例 ---" . PHP_EOL;
38
39// 例1: 通常の数値と不要な文字
40$userInput1 = "商品の数量: 123個";
41$safeInt1 = getSafeIntegerFromInput($userInput1);
42echo "入力: '{$userInput1}' => 結果: ";
43var_dump($safeInt1); // int(123)
44
45// 例2: マイナス記号を含む数値
46$userInput2 = "-50.75ドル";
47$safeInt2 = getSafeIntegerFromInput($userInput2);
48echo "入力: '{$userInput2}' => 結果: ";
49var_dump($safeInt2); // int(-5075) - 小数点も除去されることに注意
50
51// 例3: スペースとプラス記号
52$userInput3 = "  +99  ";
53$safeInt3 = getSafeIntegerFromInput($userInput3);
54echo "入力: '{$userInput3}' => 結果: ";
55var_dump($safeInt3); // int(99)
56
57// 例4: 数値以外の文字のみの場合
58$userInput4 = "これは数値ではありません";
59$safeInt4 = getSafeIntegerFromInput($userInput4);
60echo "入力: '{$userInput4}' => 結果: ";
61var_dump($safeInt4); // bool(false)
62
63// 例5: 完全に空の入力
64$userInput5 = "";
65$safeInt5 = getSafeIntegerFromInput($userInput5);
66echo "入力: '{$userInput5}' => 結果: ";
67var_dump($safeInt5); // bool(false)
68
69// 例6: ゼロを含む数値
70$userInput6 = "0";
71$safeInt6 = getSafeIntegerFromInput($userInput6);
72echo "入力: '{$userInput6}' => 結果: ";
73var_dump($safeInt6); // int(0)
74
75// 例7: 複数行の入力
76$userInput7 = "1\n2\r3";
77$safeInt7 = getSafeIntegerFromInput($userInput7);
78echo "入力: '{$userInput7}' => 結果: ";
79var_dump($safeInt7); // int(123)

このPHPのサンプルコードは、ユーザーから入力された文字列の中から、安全な整数値だけを抽出して取得する方法を示しています。例えば、ウェブサイトのフォームから商品数量などの数値を受け取る際に、数値以外の不要な文字が混入していた場合に、それらを除去して確実に整数として扱えるようにします。

コードの中心となるのは、filter_var 関数と FILTER_SANITIZE_NUMBER_INT 定数です。FILTER_SANITIZE_NUMBER_INT は、指定された文字列から数字（0-9）と、先頭にあるマイナス記号（-）以外の文字をすべて取り除きます。例えば、「商品の数量: 123個」という入力からは「123」が抽出されます。「-50.75ドル」のような入力の場合、小数点も除去されて「-5075」となりますので、小数点は考慮されないことに注意が必要です。

filter_var 関数は結果を文字列として返すため、その文字列が本当に有効な数値であるかを is_numeric 関数などで確認しています。これは、例えば入力が完全に数値以外の文字で構成されて結果が空になった場合や、マイナス記号だけが残ってしまった場合などに、誤って数値として処理されないようにするための重要なステップです。

最終的に、この getSafeIntegerFromInput 関数は、引数として受け取った入力文字列を安全にサニタイズし、数値として有効だと判断された場合は整数型（int）の値を返します。もし入力が数値として適切でない、またはサニタイズの結果が空文字列になった場合は、その代わりに false を返します。これにより、呼び出し側は入力が正しく数値として処理できたかどうかを明確に判断できます。