【PHP8.x】FILTER_SANITIZE_STRING定数の使い方

Copy
1<?php
2
3/**
4 * ユーザー入力をサニタイズする関数。
5 *
6 * FILTER_SANITIZE_STRING は PHP 8.1 で非推奨となり、PHP 9.0 で削除されました。
7 * この関数は、FILTER_SANITIZE_STRING の一般的な代替として、
8 * HTMLタグを除去し、HTML特殊文字をエンティティに変換することで
9 * クロスサイトスクリプティング (XSS) 攻撃を防ぎます。
10 *
11 * @param string $input サニタイズする文字列。
12 * @return string サニタイズされた文字列。
13 */
14function sanitizeStringAlternative(string $input): string
15{
16    // まず、入力文字列から全てのHTMLタグを除去します。
17    // これにより、<script>タグなどの悪意のあるHTML要素が挿入されるのを防ぎます。
18    $stringWithoutTags = strip_tags($input);
19
20    // 次に、残ったHTML特殊文字（例: <, >, &, ", '）をHTMLエンティティに変換します。
21    // これにより、たとえHTMLタグが除去されていても、ユーザーが入力した文字が
22    // ブラウザによってHTMLとして解釈されることを防ぎ、XSS攻撃の可能性をさらに低減します。
23    // ENT_QUOTES はシングルクォートとダブルクォートの両方を変換し、
24    // ENT_HTML5 はHTML5のルールに従います。
25    return htmlspecialchars($stringWithoutTags, ENT_QUOTES | ENT_HTML5, 'UTF-8');
26}
27
28// --- サンプル使用例 ---
29
30// XSS攻撃の可能性のある悪意のある入力と、通常のHTML要素を含む入力の例
31$unsafeInput = "<script>alert('XSS!');</script>これは<b>テスト</b>です。<img src='x' onerror='alert(\"画像エラー!\")'>";
32echo "元の文字列 (危険な入力): " . $unsafeInput . PHP_EOL;
33
34// サニタイズ関数を適用
35$safeOutput = sanitizeStringAlternative($unsafeInput);
36echo "サニタイズ後の文字列: " . $safeOutput . PHP_EOL;
37
38echo "---" . PHP_EOL;
39
40// 通常のユーザー入力の例
41$normalInput = "こんにちは、<John Doe>&'\" さん！";
42echo "元の文字列 (通常の入力): " . $normalInput . PHP_EOL;
43
44// サニタイズ関数を適用
45$safeNormalOutput = sanitizeStringAlternative($normalInput);
46echo "サニタイズ後の文字列: " . $safeNormalOutput . PHP_EOL;
47
48?>

この関数は、PHP 8.1で非推奨となり、PHP 9.0で削除されたFILTER_SANITIZE_STRING定数の代替として、ユーザーからの入力を安全な形に変換するためのものです。ウェブアプリケーションにおいて、ユーザーからの入力には悪意のあるスクリプトが含まれる可能性があり、これを放置するとクロスサイトスクリプティング（XSS）などのセキュリティ上の脆弱性につながります。

このsanitizeStringAlternative関数は、サニタイズしたい文字列を引数$inputとして受け取ります。関数内部では、まずstrip_tags()関数を用いて、入力文字列から全てのHTMLタグを除去します。これにより、<script>タグのような悪意のあるHTML要素がそのまま実行されるのを防ぎます。

次に、htmlspecialchars()関数を使用し、残ったHTML特殊文字（例えば<、>、&、"、'など）をHTMLエンティティと呼ばれる特殊な文字列表現に変換します。これにより、ブラウザがこれらの文字をHTMLとして解釈することを防ぎ、さらなるXSS攻撃のリスクを低減します。変換時には、シングルクォートとダブルクォートの両方を変換し、HTML5のルールに従うように設定しています。

これらの二段階の処理を経て、入力された文字列に含まれる潜在的な危険を取り除き、ウェブページに安全に表示できる形に変換された文字列を戻り値として返します。サンプルコードでは、危険な入力や通常のユーザー入力が、この関数によってどのように安全な出力に変換されるかを確認できます。

Copy
1<?php
2
3/**
4 * ユーザー入力のサニタイズとエスケープの挙動を比較します。
5 *
6 * FILTER_SANITIZE_STRING と htmlspecialchars の違いを示します。
7 */
8function compareSanitizeAndEscape(): void
9{
10    // XSSの可能性があるHTMLタグや特殊文字を含む文字列の例
11    $unsafeInput = '<script>alert("XSS");</script>これは<b>太字</b>のテキストです。& 特殊文字です。<img src="x" onerror="alert(\'Error\')">';
12
13    echo "--- 元の文字列 ---\n";
14    echo $unsafeInput . "\n\n";
15
16    // 1. FILTER_SANITIZE_STRING を使用したサニタイズ
17    // HTMLタグを削除し、純粋なテキスト内容を抽出します。
18    // (注: PHP 8.1以降で FILTER_SANITIZE_STRING は非推奨になりました)
19    $sanitizedString = filter_var($unsafeInput, FILTER_SANITIZE_STRING);
20
21    echo "--- FILTER_SANITIZE_STRING でサニタイズ後 ---\n";
22    echo $sanitizedString . "\n\n";
23
24    // 2. htmlspecialchars を使用したエスケープ
25    // HTML特殊文字（<, >, &, ", '）をHTMLエンティティに変換します。
26    // これにより、ブラウザがHTMLタグとして解釈するのを防ぎます。
27    $escapedString = htmlspecialchars($unsafeInput, ENT_QUOTES, 'UTF-8');
28
29    echo "--- htmlspecialchars でエスケープ後 ---\n";
30    echo $escapedString . "\n\n";
31
32    // 両者の目的と結果の違いを簡潔に説明
33    echo "--- 違いの要約 ---\n";
34    echo "FILTER_SANITIZE_STRING: HTMLタグを削除し、テキストのみを残します。\n";
35    echo "htmlspecialchars: HTMLタグは残し、特殊文字を安全なエンティティに変換します。\n";
36}
37
38// 関数を実行
39compareSanitizeAndEscape();

このサンプルコードは、ユーザーからの入力を安全に処理するための二つの異なる方法、「サニタイズ」と「エスケープ」の挙動を比較しています。具体的には、PHPの定数であるFILTER_SANITIZE_STRINGを用いたサニタイズと、htmlspecialchars関数を用いたエスケープの違いを示します。

FILTER_SANITIZE_STRINGは、PHPのfilter_var関数などで利用される定数です。この定数自体に引数はなく、戻り値もありませんが、filter_var関数に指定することで、入力文字列からHTMLタグを完全に除去し、純粋なテキストのみを抽出する「サニタイズ」処理を行います。これにより、悪意のあるスクリプト（クロスサイトスクリプティングなど）の埋め込みを防ぐ目的があります。なお、この定数はPHP 8.1以降で非推奨となっており、今後の利用には注意が必要です。

一方、htmlspecialcharsはPHPの組み込み関数です。この関数は、文字列中に含まれるHTML特殊文字（<、>、&、"、'など）を、ブラウザが安全な形で表示できるHTMLエンティティに変換します。この処理は「エスケープ」と呼ばれ、HTMLタグ自体は削除されず、見た目は変わるものの元の情報を保持しつつ、コンテンツがHTMLとして解釈されるのを防ぎます。htmlspecialchars関数は、変換対象の文字列、変換オプション、文字エンコーディングを引数として受け取り、エスケープされた新しい文字列を戻り値として返します。

両者の違いは、FILTER_SANITIZE_STRINGが不要なHTMLタグを「削除」してテキストを抽出するのに対し、htmlspecialcharsは特殊文字を「変換」して安全に表示する点にあります。セキュリティ対策において、これらの処理の違いを理解し、状況に応じて適切に使い分けることが非常に重要です。