【PHP8.x】PKCS7_TEXT定数の使い方

Copy
1<?php
2
3/**
4 * PKCS7_TEXT 定数を使用して、PKCS#7 署名を生成するサンプルコード。
5 *
6 * この関数は、PKCS7_TEXT オプションが openssl_pkcs7_sign 関数でどのように使用されるかを示します。
7 * PKCS7_TEXT は、署名されたメッセージに元のテキスト内容を含めるかどうかを制御するオプションです。
8 * システムエンジニアを目指す初心者の方にも理解しやすいよう、コメントで詳しく説明しています。
9 */
10function demonstratePkcs7TextConstant(): void
11{
12    // 1. PHP の openssl 拡張が有効かを確認します。
13    // PKCS#7 署名機能は openssl 拡張に依存します。
14    if (!extension_loaded('openssl')) {
15        echo "エラー: openssl 拡張が有効になっていません。php.ini で 'extension=openssl' を有効にしてください。\n";
16        return;
17    }
18
19    echo "PKCS7_TEXT 定数の値: " . PKCS7_TEXT . "\n\n";
20
21    // 2. 署名する元のデータ（プレーンテキスト）を用意します。
22    $inputData = "これはPKCS#7で署名されるテストデータです。\n"
23               . "PKCS7_TEXT オプションが有効な場合、この元のテキストは署名された出力ファイルにそのまま含まれます。\n"
24               . "そうでない場合、元のテキストは含まれないか、エンコードされた形式でしかアクセスできません。";
25
26    // 3. 一時ファイルのパスを定義します。
27    // 実際のファイルシステムを汚染しないよう、一時ファイルを使用します。
28    $tempDir = sys_get_temp_dir();
29    $inputFilePath = tempnam($tempDir, 'input_'); // 署名するデータ
30    $outputSignedFilePath = tempnam($tempDir, 'signed_'); // 署名後の出力
31    $privateKeyFilePath = tempnam($tempDir, 'privkey_'); // 生成する秘密鍵
32    $certificateFilePath = tempnam($tempDir, 'cert_'); // 生成する自己署名証明書
33    $csrFilePath = tempnam($tempDir, 'csr_'); // 証明書署名要求 (Certificate Signing Request)
34
35    // スクリプトの実行終了時に全ての一時ファイルを削除するための関数を登録します。
36    $cleanup = function() use ($inputFilePath, $outputSignedFilePath, $privateKeyFilePath, $certificateFilePath, $csrFilePath) {
37        @unlink($inputFilePath);
38        @unlink($outputSignedFilePath);
39        @unlink($privateKeyFilePath);
40        @unlink($certificateFilePath);
41        @unlink($csrFilePath);
42    };
43    register_shutdown_function($cleanup); // スクリプト終了時に必ず呼び出されます。
44
45    // 4. 入力データを一時ファイルに書き込みます。
46    if (file_put_contents($inputFilePath, $inputData) === false) {
47        echo "エラー: 入力ファイルへの書き込みに失敗しました。\n";
48        $cleanup();
49        return;
50    }
51    echo "--- 署名する元のデータ ---\n" . $inputData . "\n------------------------\n\n";
52
53    // 5. 署名に使用する秘密鍵と自己署名証明書を生成します。
54    // これらはテスト目的でオンザフライで生成されます。
55    echo "秘密鍵と自己署名証明書を生成中...\n";
56
57    // 秘密鍵の生成
58    $privateKey = openssl_pkey_new([
59        "private_key_bits" => 2048,           // 鍵のビット長 (2048ビットは一般的)
60        "private_key_type" => OPENSSL_KEYTYPE_RSA, // RSA 鍵タイプを使用
61    ]);
62    if (!$privateKey) {
63        echo "エラー: 秘密鍵の生成に失敗しました。\n";
64        $cleanup();
65        return;
66    }
67    // 秘密鍵をファイルにエクスポート
68    openssl_pkey_export_to_file($privateKey, $privateKeyFilePath);
69
70    // CSR (証明書署名要求) の生成
71    // 証明書に含める情報を定義します。
72    $dn = [
73        "countryName" => "JP",
74        "stateOrProvinceName" => "Tokyo",
75        "localityName" => "Shinjuku",
76        "organizationName" => "Example Corp",
77        "organizationalUnitName" => "IT",
78        "commonName" => "localhost.example.com", // 証明書の対象となるホスト名や組織名
79        "emailAddress" => "webmaster@example.com"
80    ];
81    $csr = openssl_csr_new($dn, $privateKey);
82    if (!$csr) {
83        echo "エラー: CSR の生成に失敗しました。\n";
84        $cleanup();
85        return;
86    }
87    // CSR をファイルにエクスポート (この例では使用しませんが、一般的に行われます)
88    openssl_csr_export_to_file($csr, $csrFilePath);
89
90    // 自己署名証明書の生成
91    // 作成した CSR と秘密鍵を使用して、有効期間365日の証明書を生成します。
92    // 2番目の引数に null を渡すことで自己署名証明書となります (CAによって署名されない)。
93    $certificate = openssl_csr_sign($csr, null, $privateKey, 365);
94    if (!$certificate) {
95        echo "エラー: 自己署名証明書の生成に失敗しました。\n";
96        $cleanup();
97        return;
98    }
99    // 証明書をファイルにエクスポート
100    openssl_x509_export_to_file($certificate, $certificateFilePath);
101
102    echo "秘密鍵と証明書の生成が完了しました。\n\n";
103
104    // 6. openssl_pkcs7_sign 関数を使用して PKCS#7 署名を生成します。
105    // PKCS7_TEXT オプションの役割を明確にするため、PKCS7_DETACHED も使用します。
106    // - PKCS7_TEXT: 署名されたメッセージ内に元の平文テキストを含めます。
107    // - PKCS7_DETACHED: 署名が元のデータから分離されていることを示します。
108    //   この組み合わせにより、出力はマルチパートとなり、元のテキストがそのまま表示されやすくなります。
109    $options = PKCS7_TEXT | PKCS7_DETACHED; 
110
111    echo "PKCS#7 署名を生成中 (PKCS7_TEXT オプション有効)...\n";
112    $success = openssl_pkcs7_sign(
113        $inputFilePath,            // 署名する入力ファイルのパス
114        $outputSignedFilePath,     // 署名結果を保存する出力ファイルのパス
115        $certificateFilePath,      // 署名に使用する証明書のパス
116        [$privateKeyFilePath, null],// 署名に使用する秘密鍵のパスとパスフレーズ (パスフレーズがない場合は null)
117        [],                       // 追加のヘッダー (この例では不要)
118        $options                  // 署名オプション (PKCS7_TEXT と PKCS7_DETACHED を指定)
119    );
120
121    if ($success) {
122        echo "PKCS#7 署名が正常に生成されました。出力ファイル: " . $outputSignedFilePath . "\n";
123        echo "--- 署名された内容 (出力ファイルの内容) ---\n";
124        echo file_get_contents($outputSignedFilePath);
125        echo "\n--------------------------------------------\n";
126
127        echo "\n解説:\n";
128        echo "上記出力は、S/MIME形式の署名されたメッセージです。\n";
129        echo "PKCS7_TEXT オプションのおかげで、S/MIMEヘッダーの下に元の平文テキスト (Content-Type: text/plain) がそのまま含まれています。\n";
130        echo "これにより、署名検証ツールがなくても、メッセージの内容を直接確認できます。\n";
131        echo "PKCS7_DETACHED オプションは、署名自体を元のデータから分離したことを示しますが、PKCS7_TEXT が元のテキストを含める役割を果たしています。\n";
132    } else {
133        echo "エラー: PKCS#7 署名の生成に失敗しました。\n";
134        // openssl_error_string() で OpenSSL のエラーメッセージを取得できます。
135        while (($error = openssl_error_string()) !== false) {
136            echo "OpenSSL エラー: " . $error . "\n";
137        }
138    }
139
140    // スクリプト終了時に一時ファイルは自動的に削除されます。
141}
142
143// サンプルコードを実行します。
144demonstratePkcs7TextConstant();

PKCS7_TEXTは、PHPのOpenSSL拡張機能において、PKCS#7署名を生成する際に利用される整数型の定数です。この定数は、署名されるメッセージの出力形式を制御するオプションの一つとして機能し、特に署名されたデータの中に元のテキスト内容をそのまま含めるかどうかを指定します。

サンプルコードでは、openssl_pkcs7_sign関数にこのPKCS7_TEXTオプションを渡すことで、具体的な挙動を示しています。このオプションが有効な場合、生成されるPKCS#7署名付きファイル（一般的にはS/MIME形式）には、署名された暗号化されたデータだけでなく、署名前の元の平文テキストも可読な形で含まれます。これにより、署名検証ツールを使わずともメッセージの内容を直接確認できるようになります。

この定数自体に引数はなく、整数型（int）の値として他の署名オプションと組み合わせて使用されます。システムエンジニアを目指す初心者の方にとって、セキュリティ関連のシステムにおいて、メッセージの完全性を確保しつつ、その内容をどのように提示・伝達するかを理解する上で重要な要素となります。これは、例えば電子メールの署名などで、元のメッセージをS/MIME形式の署名と一緒に見せたい場合に特に有効です。

Copy
1<?php
2
3/**
4 * PHPのPKCS7_TEXT定数の使用例を示すサンプルコード。
5 *
6 * この定数はOpenSSL拡張機能の一部で、PKCS#7署名されたデータから元のテキストコンテンツを
7 * 抽出する際に openssl_pkcs7_sign や openssl_pkcs7_verify 関数で使用されます。
8 *
9 * PKCS7_TEXT定数の値は整数であり、通常はフラグとして他の定数と組み合わせて使用されます。
10 * ここでは、データの署名と検証を通じて、元のテキストを抽出する方法を示します。
11 *
12 * 注意: 実際の運用環境では、一時ファイルや秘密鍵の管理、証明書のパス検証をより厳重に行う必要があります。
13 * このコードは学習目的の簡略化された例です。
14 */
15function demonstratePkcs7TextConstant(): void
16{
17    // PKCS7_TEXT定数の値を確認 (整数値であることが分かります)
18    echo "PKCS7_TEXT 定数の値: " . PKCS7_TEXT . PHP_EOL . PHP_EOL;
19
20    // 1. 署名対象のオリジナルデータを準備
21    $originalData = "このメッセージはPKCS#7形式で署名されます。PKCS7_TEXT定数のテストです。";
22    // 一時ファイルにデータを保存
23    $dataFile = tempnam(sys_get_temp_dir(), 'pkcs7_data');
24    if (!$dataFile || file_put_contents($dataFile, $originalData) === false) {
25        error_log("Error: Failed to create data file or write content.");
26        return;
27    }
28
29    // 2. 秘密鍵と自己署名証明書を生成
30    // 実際のアプリケーションでは、既存の秘密鍵と信頼された証明書を使用します。
31    // ここではデモ用に一時的に生成します。
32    $privKey = openssl_pkey_new([
33        'private_key_bits' => 2048,
34        'private_key_type' => OPENSSL_KEYTYPE_RSA,
35    ]);
36    if (!$privKey) {
37        error_log("Error: Failed to generate private key: " . openssl_error_string());
38        unlink($dataFile);
39        return;
40    }
41
42    $csr = openssl_csr_new(['commonName' => 'example.com', 'countryName' => 'JP'], $privKey);
43    $cert = openssl_csr_sign($csr, null, $privKey, 365); // 自己署名証明書 (有効期間365日)
44
45    // 秘密鍵と証明書を一時ファイルにエクスポート
46    $privKeyFile = tempnam(sys_get_temp_dir(), 'pkcs7_privkey');
47    $certFile = tempnam(sys_get_temp_dir(), 'pkcs7_cert');
48
49    openssl_pkey_export($privKey, $privateKeyPem);
50    file_put_contents($privKeyFile, $privateKeyPem);
51    openssl_x509_export($cert, $certificatePem);
52    file_put_contents($certFile, $certificatePem);
53
54    echo "秘密鍵と証明書を一時ファイルに生成しました。" . PHP_EOL;
55
56    // 3. データをPKCS#7形式で署名
57    // 署名結果と検証後の出力ファイルを指定
58    $signedFile = tempnam(sys_get_temp_dir(), 'pkcs7_signed');
59    $extractedOutputFile = tempnam(sys_get_temp_dir(), 'pkcs7_output');
60
61    // PKCS#7_TEXT フラグを付けて署名することで、元のデータが署名されたデータ内に含まれるようになります。
62    // これにより、後で openssl_pkcs7_verify で元のテキストを抽出できるようになります。
63    $flags = PKCS7_TEXT;
64
65    echo "データをPKCS#7形式で署名中..." . PHP_EOL;
66    $signResult = openssl_pkcs7_sign(
67        $dataFile,            // 署名するデータファイル
68        $signedFile,          // 署名結果を保存するファイル
69        $certFile,            // 署名に使用する証明書
70        $privKeyFile,         // 署名に使用する秘密鍵
71        [],                    // 署名ヘッダーオプション (例: [])
72        $flags                 // PKCS7_TEXT フラグを指定
73    );
74
75    if (!$signResult) {
76        error_log("Error: PKCS#7 signing failed: " . openssl_error_string());
77        cleanupFiles([$dataFile, $privKeyFile, $certFile, $signedFile, $extractedOutputFile]);
78        return;
79    }
80    echo "データがPKCS#7形式で正常に署名されました。" . PHP_EOL . PHP_EOL;
81
82    // 4. PKCS#7署名の検証と元のテキスト抽出
83    echo "PKCS#7署名を検証し、PKCS7_TEXTフラグを使用して元のテキストを抽出中..." . PHP_EOL;
84    $verifyResult = openssl_pkcs7_verify(
85        $signedFile,          // 署名されたデータファイル
86        PKCS7_TEXT,           // PKCS7_TEXT フラグ: 署名されたファイルから元のテキストを抽出し、$extractedOutputFileに保存する
87        $certFile,            // 署名に使用された証明書 (または CA チェーン)
88        [],                    // 追加のCA証明書 (ここでは自己署名なので不要)
89        $extractedOutputFile  // 抽出されたテキストを保存するファイル
90    );
91
92    if ($verifyResult) {
93        echo "PKCS#7署名の検証に成功しました。" . PHP_EOL;
94        $extractedText = file_get_contents($extractedOutputFile);
95
96        echo "------------------------------------" . PHP_EOL;
97        echo "抽出された元のテキスト:" . PHP_EOL;
98        echo $extractedText . PHP_EOL;
99        echo "------------------------------------" . PHP_EOL;
100
101        if ($extractedText === $originalData) {
102            echo "元のデータと抽出されたデータは一致します。" . PHP_EOL;
103        } else {
104            echo "エラー: 元のデータと抽出されたデータが一致しません。" . PHP_EOL;
105            echo "元のデータ: " . $originalData . PHP_EOL;
106        }
107    } else {
108        error_log("Error: PKCS#7 verification failed: " . openssl_error_string());
109        echo "PKCS#7署名の検証に失敗しました。" . PHP_EOL;
110    }
111
112    // 5. 後処理 (一時ファイルの削除)
113    cleanupFiles([$dataFile, $privKeyFile, $certFile, $signedFile, $extractedOutputFile]);
114    echo PHP_EOL . "一時ファイルを削除しました。" . PHP_EOL;
115}
116
117/**
118 * 一時ファイルを削除するヘルパー関数。
119 */
120function cleanupFiles(array $files): void
121{
122    foreach ($files as $file) {
123        if (file_exists($file)) {
124            unlink($file);
125        }
126    }
127}
128
129// 関数の実行
130demonstratePkcs7TextConstant();
131
132?>

PHP 8のPKCS7_TEXT定数は、OpenSSL拡張機能の一部で、PKCS#7形式の署名データを取り扱う際に使用される整数型の定数です。この定数は引数を取らず、その値自体が特定の動作を指示するフラグとして機能します。

主にopenssl_pkcs7_sign関数でデータを署名する際、元のテキストコンテンツを署名データ内に含めるためのフラグとして利用されます。これにより、署名されたデータ自体が元のメッセージと署名情報の両方を持つことになります。また、openssl_pkcs7_verify関数で署名を検証する際には、PKCS7_TEXTフラグを指定することで、署名されたファイルから元のテキストデータを抽出することが可能になります。

サンプルコードでは、まず元のテキストデータを準備し、署名に必要な一時的な秘密鍵と自己署名証明書を生成します。その後、openssl_pkcs7_sign関数でPKCS7_TEXT定数をフラグとして指定し、元のデータを含んだPKCS#7署名ファイルを生成します。続いて、openssl_pkcs7_verify関数でもPKCS7_TEXT定数を指定して署名ファイルを検証し、同時に署名データから元のテキストコンテンツを抽出します。最終的に、抽出されたテキストが元のデータと一致するかを確認することで、この定数が署名と検証のプロセスで元のテキストデータをどのように扱うかを示しています。