【PHP8.x】FILTER_UNSAFE_RAW定数の使い方

Copy
1<?php
2
3/**
4 * この関数は、PHPのFILTER_UNSAFE_RAW定数を使用して、未加工の入力を取得する方法を示します。
5 * システムエンジニアの初心者にとって、ユーザー入力をそのまま受け取ることの重要性と
6 * その後の処理の責任を理解することは不可欠です。
7 *
8 * PHPの歴史的な背景として、かつては 'magic_quotes_gpc' という機能が自動的に
9 * 入力文字をエスケープしていました。そのエスケープを元に戻すために
10 * 'FILTER_SANITIZE_MAGIC_QUOTES' (PHP 7.0で削除) のようなフィルタが使われました。
11 *
12 * 現代のPHP (PHP 8) では、入力はデフォルトで未加工 (raw) であり、
13 * 開発者が用途に応じて明示的にサニタイズ（無害化）やバリデート（検証）を行う責任があります。
14 * FILTER_UNSAFE_RAW は、この「未加工の入力を取得する」という意図を明確に示します。
15 *
16 * @param string $input_key 取得する入力データのキー名（例: GETリクエストのクエリパラメータ名）。
17 */
18function handleUnsafeRawInput(string $input_key = 'message'): void
19{
20    echo "--- FILTER_UNSAFE_RAW のデモンストレーション ---\n\n";
21
22    // 実際のWebアプリケーションでは、$_GETや$_POSTからユーザー入力が入ります。
23    // ここではデモンストレーションのため、$_GET変数に値を直接設定します。
24    // この入力には、潜在的に危険なHTMLタグや特殊文字が含まれています。
25    $_GET[$input_key] = "<script>alert('XSS!');</script> Your name is O'Connell & Co.";
26
27    echo "入力キー: " . htmlspecialchars($input_key) . "\n";
28    echo "テスト入力値: " . htmlspecialchars($_GET[$input_key]) . "\n\n";
29
30    // FILTER_UNSAFE_RAW を使用して、指定されたキーの入力値をそのまま取得します。
31    // この定数は整数値 (例: 516) を持ち、フィルタリングを行わないことを意味します。
32    $rawData = filter_input(INPUT_GET, $input_key, FILTER_UNSAFE_RAW);
33
34    echo "FILTER_UNSAFE_RAW を使って取得した未加工データ:\n";
35    // ターミナルでの表示を安全にするため、htmlspecialcharsでエスケープしています。
36    // ここで重要なのは、$rawData の内容が元の入力と全く同じである点です。
37    echo "  " . htmlspecialchars($rawData) . "\n\n";
38
39    echo "FILTER_UNSAFE_RAW 定数の値: " . FILTER_UNSAFE_RAW . "\n\n";
40
41    echo "【重要】\n";
42    echo "FILTER_UNSAFE_RAW で取得したデータは、いかなるサニタイズも行われていません。\n";
43    echo "このデータをWebページに直接表示したり、データベースに保存したりする前に、\n";
44    echo "用途に応じた適切なサニタイズ（例: HTML出力には htmlspecialchars、\n";
45    echo "データベースにはプリペアドステートメント）を必ず行ってください。\n";
46    echo "これを怠ると、クロスサイトスクリプティング (XSS) やSQLインジェクションなどの\n";
47    echo "セキュリティ脆弱性の原因となります。\n\n";
48
49    // 安全なHTML出力のための例:
50    $sanitizedForHtml = htmlspecialchars($rawData, ENT_QUOTES | ENT_HTML5, 'UTF-8');
51    echo "【参考】HTML表示用にサニタイズされたデータ (htmlspecialcharsを使用):\n";
52    echo "  " . $sanitizedForHtml . "\n";
53}
54
55// 関数の実行
56handleUnsafeRawInput();
57
58?>

FILTER_UNSAFE_RAWは、PHP 8で利用できるフィルタ定数で、ユーザーからの入力値を一切加工せずにそのまま取得したい場合に使用します。この定数自体は引数を取らず、内部的には特定の整数値として扱われます。

かつてPHPにはmagic_quotes_gpcという機能があり、ユーザー入力を自動的にエスケープしていましたが、この機能はPHP 5.4で非推奨となり、PHP 7.0で削除されました。そのため、現代のPHPでは入力がデフォルトで未加工（raw）であり、開発者が用途に応じて明示的にサニタイズ（無害化）やバリデート（検証）を行う責任があります。FILTER_UNSAFE_RAWは、この「未加工の入力を取得する」という意図を明確にするために使われます。

サンプルコードでは、filter_input()関数とFILTER_UNSAFE_RAWを組み合わせて、$_GET変数に設定されたテスト入力値をそのまま取得しています。取得されたデータは、元の文字列と全く同じ内容であることが示されており、いかなるフィルタリングも行われていないことがわかります。

FILTER_UNSAFE_RAWで取得したデータは、そのままWebページに表示したりデータベースに保存したりすると、クロスサイトスクリプティング（XSS）やSQLインジェクションなどのセキュリティ脆弱性を引き起こす可能性があります。そのため、このデータを扱う際は、HTML出力にはhtmlspecialchars()、データベース操作にはプリペアドステートメントなど、用途に応じた適切なサニタイズ処理やバリデーション処理を必ず行う必要があります。開発者は、未加工のデータを取得した後のセキュリティ対策について、その責任を十分に理解することが重要です。

Copy
1<?php
2
3/**
4 * PHPのfilter_var関数とFILTER_UNSAFE_RAW定数、
5 * そしてサニタイズの重要性をデモンストレーションする関数です。
6 * システムエンジニアを目指す初心者向けに、未加工データとサニタイズデータの違いを明確に示します。
7 */
8function demonstrateFilterUnsafeRawAndSanitization(): void
9{
10    // ユーザーからの入力として想定される、HTMLタグや特殊文字を含む文字列
11    // このデータは、Webページにそのまま表示するとセキュリティ上のリスクがあります（例: XSS攻撃）。
12    $userInput = '<script>alert("XSS Attack!");</script>ユーザー名: &lt;John Doe&gt;';
13
14    echo "<h2>元の入力データ:</h2>\n";
15    // 表示の前に、元の入力自体が表示される際にブラウザで実行されないようエスケープします。
16    echo htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8') . "\n\n";
17
18    // --- FILTER_UNSAFE_RAW の使用例 ---
19    // FILTER_UNSAFE_RAW は、filter_var関数にフィルターを適用しないことを示します。
20    // これは、入力を「未加工のまま」返すことを意味し、通常は信頼できるデータに対してのみ使用すべきです。
21    // 定数 FILTER_UNSAFE_RAW の値は整数です。
22    echo "<h2>1. FILTER_UNSAFE_RAW を使用した結果 (未加工):</h2>\n";
23    echo "PHP定数 `FILTER_UNSAFE_RAW` の値は " . FILTER_UNSAFE_RAW . " (int) です。\n";
24    echo "この定数を指定すると、filter_var関数は入力をそのまま返します。\n";
25    echo "Webページに直接出力すると、悪意のあるスクリプトが実行される可能性があります（XSS攻撃）。\n";
26    $unsafeOutput = filter_var($userInput, FILTER_UNSAFE_RAW);
27    echo "出力結果:\n";
28    echo $unsafeOutput . "\n\n"; // ここでは危険性を説明するため、未加工のまま出力
29
30    // --- FILTER_SANITIZE_SPECIAL_CHARS の使用例 ---
31    // キーワード「filter_sanitize_full_special_chars」に最も近いフィルターとして
32    // FILTER_SANITIZE_SPECIAL_CHARS を使用します。
33    // このフィルターは、HTMLの特殊文字（<, >, &, ", ' など）をHTMLエンティティに変換します。
34    // これにより、Webページにデータを安全に表示でき、XSS攻撃を防ぐことができます。
35    echo "<h2>2. FILTER_SANITIZE_SPECIAL_CHARS を使用した結果 (サニタイズ済み):</h2>\n";
36    echo "ユーザーからの入力をWebページに表示する際には、通常このようにサニタイズして安全性を確保します。\n";
37    $sanitizedOutput = filter_var($userInput, FILTER_SANITIZE_SPECIAL_CHARS);
38    echo "出力結果:\n";
39    echo $sanitizedOutput . "\n\n";
40
41    echo "<h3>システムエンジニアを目指すあなたへ: なぜサニタイズが必要なのか？</h3>\n";
42    echo "上記の結果を比較すると、`FILTER_UNSAFE_RAW` では入力データがそのまま出力され、\n";
43    echo "悪意のあるスクリプト（`<script>alert(\"XSS Attack!\");</script>`）が\n";
44    echo "Webブラウザで実行されるリスクがあることがわかります。\n";
45    echo "一方、`FILTER_SANITIZE_SPECIAL_CHARS` では、特殊文字が安全な形式（例: `&lt;script&gt;`）に変換され、\n";
46    echo "スクリプトが実行されるのを防ぎ、データを安全に表示できます。\n";
47    echo "Webアプリケーション開発において、ユーザーからの入力データを適切にサニタイズすることは、\n";
48    echo "セキュリティを確保するための非常に重要な実践です。\n";
49}
50
51// 関数を実行して、デモンストレーションを行います。
52demonstrateFilterUnsafeRawAndSanitization();
53
54?>

FILTER_UNSAFE_RAWはPHPの定数で、整数型の値を持ちます。この定数には引数がありません。主にfilter_var関数と組み合わせて使用され、入力データを一切加工せず、未加工のまま返すことを指示します。つまり、データのフィルタリングやサニタイズ処理を行いません。

サンプルコードでは、悪意のある<script>タグを含むユーザー入力をFILTER_UNSAFE_RAWで処理した場合と、FILTER_SANITIZE_SPECIAL_CHARSで処理した場合の結果を比較しています。FILTER_UNSAFE_RAWを使用すると、入力されたスクリプトがそのまま出力され、Webブラウザ上で実行されるクロスサイトスクリプティング（XSS）攻撃のリスクがあることが示されます。一方、FILTER_SANITIZE_SPECIAL_CHARS（キーワードのfilter_sanitize_full_special_charsに近い挙動を持つフィルター）は、特殊文字を安全なHTMLエンティティに変換し、悪意のあるスクリプトの実行を防ぎます。

システムエンジニアを目指す上で、ユーザーからの入力データをWebページに表示する際には、必ずFILTER_UNSAFE_RAWのような未加工で返す設定ではなく、FILTER_SANITIZE_SPECIAL_CHARSなどの適切なサニタイズフィルターを適用し、セキュリティを確保することが非常に重要です。これにより、Webアプリケーションの安全性を高めることができます。