【PHP8.x】FILTER_SANITIZE_SPECIAL_CHARS定数の使い方

Copy
1<?php
2
3/**
4 * HTTP GETリクエストからユーザー入力を受け取り、FILTER_SANITIZE_SPECIAL_CHARS を用いてサニタイズする例。
5 *
6 * このフィルターは、HTML特殊文字 (例: <, >, &, ", ') を対応するHTMLエンティティに変換し、
7 * クロスサイトスクリプティング (XSS) などの脆弱性から保護します。
8 *
9 * 例: このPHPファイルをWebサーバーに配置し、以下のURLでアクセスしてください。
10 * http://localhost/your_script.php?username=<script>alert('XSS');</script>&comment=Hello%20<b>World</b>!
11 */
12function sanitizeGetInput(): void
13{
14    // Content-Type を text/plain に設定し、ブラウザがHTMLとして解釈しないようにする
15    // これにより、出力されるHTMLエンティティがそのままの文字列として表示されます。
16    if (!headers_sent()) {
17        header('Content-Type: text/plain; charset=UTF-8');
18    }
19
20    echo "--- PHP入力サニタイズデモンストレーション ---\n\n";
21
22    // 'username' GETパラメータから元の（サニタイズされていない）値を取得
23    // FILTER_UNSAFE_RAW はフィルターを適用せずに値を取得します。
24    $unsafeUsername = filter_input(INPUT_GET, 'username', FILTER_UNSAFE_RAW);
25
26    // 'username' GETパラメータに FILTER_SANITIZE_SPECIAL_CHARS を適用してサニタイズ
27    // <script>alert('XSS');</script> は &lt;script&gt;alert(&#039;XSS&#039;);&lt;/script&gt; に変換されます。
28    $sanitizedUsername = filter_input(INPUT_GET, 'username', FILTER_SANITIZE_SPECIAL_CHARS);
29
30    echo "ユーザー名:\n";
31    echo "  元の入力  : " . ($unsafeUsername ?? '[入力なし]') . "\n";
32    echo "  サニタイズ後: " . ($sanitizedUsername ?? '[入力なし]') . "\n\n";
33
34    // 'comment' GETパラメータから元の（サニタイズされていない）値を取得
35    $unsafeComment = filter_input(INPUT_GET, 'comment', FILTER_UNSAFE_RAW);
36
37    // 'comment' GETパラメータに FILTER_SANITIZE_SPECIAL_CHARS を適用してサニタイズ
38    // Hello <b>World</b>! は Hello &lt;b&gt;World&lt;/b&gt;! に変換されます。
39    $sanitizedComment = filter_input(INPUT_GET, 'comment', FILTER_SANITIZE_SPECIAL_CHARS);
40
41    echo "コメント:\n";
42    echo "  元の入力  : " . ($unsafeComment ?? '[入力なし]') . "\n";
43    echo "  サニタイズ後: " . ($sanitizedComment ?? '[入力なし]') . "\n\n";
44
45    echo "------------------------------------------------\n";
46    echo "上記の結果から、HTMLタグや特殊文字が安全なHTMLエンティティに変換されていることが確認できます。\n";
47    echo "これにより、Webページにユーザー入力を表示する際に、悪意のあるHTMLやJavaScriptが実行されるのを防ぎます。\n";
48}
49
50// 関数を実行して、入力サニタイズのデモンストレーションを開始
51sanitizeGetInput();
52
53?>

PHP 8の定数FILTER_SANITIZE_SPECIAL_CHARSは、ウェブアプリケーションでユーザー入力を安全に処理するために使われます。この定数は、主にHTMLの特殊文字（例: <、>、&、"、'）を、安全なHTMLエンティティ（例: <、>、&、"、'）に変換する役割を担います。これにより、悪意のあるHTMLやJavaScriptコードがウェブページに挿入され実行されるクロスサイトスクリプティング（XSS）攻撃から、ウェブサイトを保護することが目的です。

この定数自体には引数がなく、その値は整数型として特定のフィルターIDを表します。通常はfilter_input()のようなPHPの入力フィルター関数と組み合わせて使用され、例えばfilter_input(INPUT_GET, 'パラメータ名', FILTER_SANITIZE_SPECIAL_CHARS)のように記述することで、HTTP GETリクエストから受け取った指定のパラメータ値をサニタイズできます。

サンプルコードでは、HTTP GETリクエストで送られたusernameやcommentといったユーザー入力に対して、この定数を用いてサニタイズ処理を適用しています。元の入力に含まれる危険なHTMLタグや特殊文字が、サニタイズ後は安全なHTMLエンティティに変換されていることが確認できます。このように、ユーザーからの入力をウェブページに表示する前には必ずサニタイズ処理を行うことで、アプリケーションのセキュリティを向上させることができます。

Copy
1<?php
2
3/**
4 * FILTER_SANITIZE_SPECIAL_CHARS 定数を使用して、HTMLの特殊文字をサニタイズする関数。
5 *
6 * この関数は、入力文字列に含まれるHTMLの特殊文字（例: <, >, ", ', &）を
7 * 対応するHTMLエンティティ（例: &lt;, &gt;, &quot;, &#039;, &amp;）に変換します。
8 * これにより、クロスサイトスクリプティング（XSS）攻撃などの潜在的なセキュリティ脆弱性から
9 * ウェブアプリケーションを保護するのに役立ちます。
10 *
11 * @param string $input サニタイズする元の文字列。
12 * @return string サニタイズされた文字列。
13 */
14function sanitizeHtmlSpecialChars(string $input): string
15{
16    // filter_var 関数は、指定されたフィルタを使用して変数をフィルタリングします。
17    // FILTER_SANITIZE_SPECIAL_CHARS は、HTMLの特殊文字をエンティティに変換するフィルタです。
18    // この定数自体は整数値を返すだけで、実際にサニタイズを行うのは filter_var 関数です。
19    $sanitizedString = filter_var($input, FILTER_SANITIZE_SPECIAL_CHARS);
20
21    return $sanitizedString;
22}
23
24// サンプル使用例
25$userComment = "<script>alert('Hello!');</script> This is 'my' & \"test\" comment.";
26
27echo "元の文字列: " . $userComment . PHP_EOL;
28
29// 関数を呼び出して文字列をサニタイズ
30$cleanedComment = sanitizeHtmlSpecialChars($userComment);
31
32echo "サニタイズ後の文字列: " . $cleanedComment . PHP_EOL;
33
34/*
35期待される出力 (HTMLエンティティに変換された特殊文字):
36元の文字列: <script>alert('Hello!');</script> This is 'my' & "test" comment.
37サニタイズ後の文字列: &lt;script&gt;alert(&#039;Hello!&#039;);&lt;/script&gt; This is &#039;my&#039; &amp; &quot;test&quot; comment.
38*/
39
40?>

このPHPコードは、ウェブアプリケーションのセキュリティを強化するための重要な処理である「サニタイズ」を実演しています。具体的には、PHP 8で利用できるFILTER_SANITIZE_SPECIAL_CHARS定数を用いて、HTMLの特殊文字を安全な形式に変換する方法を示します。

FILTER_SANITIZE_SPECIAL_CHARS定数自体は、HTMLの特殊文字をサニタイズするためのフィルタの種類を指定する整数値です。この定数を直接呼び出すのではなく、主にfilter_var関数の第二引数として使用します。

サンプルコード内のsanitizeHtmlSpecialChars関数は、指定された入力文字列をサニタイズする役割を担います。この関数は引数として$input（サニタイズしたい元の文字列）を受け取ります。関数内部では、filter_var関数が$inputとFILTER_SANITIZE_SPECIAL_CHARSを組み合わせて使用され、<、>、'、"、&などのHTML特殊文字を、それぞれ<、>、'、"、&といったHTMLエンティティに変換します。変換後、安全な文字列が関数の戻り値として返されます。

この処理は、クロスサイトスクリプティング（XSS）攻撃のようなセキュリティ上の脅威からウェブアプリケーションを保護するために不可欠です。ユーザーからの入力データをそのままウェブページに表示すると、悪意のあるスクリプトが実行されるリスクがあるため、常にこの種のサニタイズ処理を行うことが推奨されます。サンプル使用例では、スクリプトタグを含む文字列がどのように安全な形式に変換されるかを確認できます。