【PHP8.x】PDO::SQLITE_ATTR_READONLY_STATEMENT定数の使い方

Copy
1<?php
2
3/**
4 * PDO::SQLITE_ATTR_READONLY_STATEMENT 定数の使用と、
5 * 旧来の sqlite_escape_string の現代的な代替手段（プリペアドステートメント）を示すサンプルコードです。
6 *
7 * この関数は、SQLiteデータベースに接続し、ステートメントを読み取り専用に設定した後、
8 * プリペアドステートメントを使用して安全にデータを読み取ります。
9 * 読み取り専用設定後に書き込み操作を試み、その結果（エラー）も示します。
10 */
11function demonstratePdoReadonlyStatementAndSafeQuery(): void
12{
13    // SQLiteデータベースファイルのパス
14    $dbFile = 'sample_sqlite_readonly.db';
15    $dsn = "sqlite:$dbFile";
16
17    try {
18        // データベースファイルが存在しない場合は作成し、初期データを投入します。
19        // この初期データ投入は、読み取り専用ステートメント設定の前に行われます。
20        if (!file_exists($dbFile)) {
21            $pdo = new PDO($dsn);
22            $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
23
24            echo "データベースファイル ($dbFile) が見つかりませんでした。作成して初期データを投入します。\n";
25            $pdo->exec("CREATE TABLE IF NOT EXISTS users (id INTEGER PRIMARY KEY AUTOINCREMENT, name TEXT NOT NULL, email TEXT NOT NULL)");
26            $pdo->exec("INSERT INTO users (name, email) VALUES ('Alice Smith', 'alice@example.com')");
27            $pdo->exec("INSERT INTO users (name, email) VALUES ('Bob Johnson', 'bob@example.com')");
28            $pdo = null; // 初期データ投入後、接続を一旦閉じる
29            echo "初期データ投入完了。\n";
30        }
31
32        // PDO接続を確立し、エラーモードを例外スローに設定
33        $pdo = new PDO($dsn);
34        $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
35
36        echo "\n--- PDO::SQLITE_ATTR_READONLY_STATEMENT のデモンストレーション ---\n";
37
38        // PDO::SQLITE_ATTR_READONLY_STATEMENT を有効にする
39        // これにより、このPDOオブジェクトから発行される以降のステートメントは、
40        // データベースへの書き込み操作が禁止され、読み取り専用として扱われます。
41        $pdo->setAttribute(PDO::SQLITE_ATTR_READONLY_STATEMENT, true);
42        echo "PDO::SQLITE_ATTR_READONLY_STATEMENT を 'true' に設定しました。\n";
43
44        // プリペアドステートメントを使用した安全なデータ読み取り
45        //
46        // キーワードに「sqlite_escape_string」が指定されていますが、この関数はPHP 8では利用できません。
47        // 代わりに、PDOのプリペアドステートメントを使用することが、現代のPHPにおける
48        // 最も推奨されるSQLインジェクション対策であり、安全なSQLクエリ構築方法です。
49        $searchTerm = 'Alice'; // ユーザーからの入力と仮定される検索語
50
51        echo "\n指定された検索語 ('" . htmlspecialchars($searchTerm) . "') でユーザーを検索します (読み取り専用)。\n";
52        $stmt = $pdo->prepare("SELECT id, name, email FROM users WHERE name LIKE :name");
53        // プレースホルダに値をバインドすることで、特殊文字のエスケープが自動的に行われ、
54        // SQLインジェクション攻撃を防ぎます。
55        $stmt->bindValue(':name', '%' . $searchTerm . '%', PDO::PARAM_STR);
56        $stmt->execute();
57
58        $users = $stmt->fetchAll(PDO::FETCH_ASSOC);
59
60        if (empty($users)) {
61            echo "該当するユーザーは見つかりませんでした。\n";
62        } else {
63            echo "検索結果:\n";
64            foreach ($users as $user) {
65                echo "  ID: {$user['id']}, 名前: {$user['name']}, メール: {$user['email']}\n";
66            }
67        }
68
69        // 読み取り専用ステートメント設定後に書き込み操作を試みる
70        // PDO::SQLITE_ATTR_READONLY_STATEMENT が true のため、この操作は失敗するはずです。
71        echo "\n--- 読み取り専用モードでの書き込み操作の試行 (エラーを期待) ---\n";
72        try {
73            $pdo->exec("INSERT INTO users (name, email) VALUES ('Charlie Brown', 'charlie@example.com')");
74            echo "エラー: 読み取り専用モードで書き込み操作が成功してしまいました。\n";
75        } catch (PDOException $e) {
76            echo "期待されるエラーが発生しました: " . $e->getMessage() . "\n";
77            echo "これは PDO::SQLITE_ATTR_READONLY_STATEMENT が正しく機能しており、"
78                 . "書き込み操作が拒否されたことを示しています。\n";
79        }
80
81    } catch (PDOException $e) {
82        echo "データベースエラー: " . $e->getMessage() . "\n";
83    } finally {
84        // PDOオブジェクトをnullに設定してデータベース接続を閉じる
85        $pdo = null;
86        echo "\nデータベース接続を閉じました。\n";
87
88        // テスト用データベースファイルを保持するか、削除するかは任意
89        // 必要であれば、以下のコメントを解除してファイルを削除できます。
90        // if (file_exists($dbFile)) {
91        //     unlink($dbFile);
92        //     echo "テスト用データベースファイル ($dbFile) を削除しました。\n";
93        // }
94    }
95}
96
97// 関数を実行してサンプルコードの動作を確認
98demonstratePdoReadonlyStatementAndSafeQuery();

このサンプルコードは、PHP 8で利用できるPDO::SQLITE_ATTR_READONLY_STATEMENT定数の使い方と、現代的なSQLインジェクション対策としてのプリペアドステートメントの利用方法を初心者にも分かりやすく示しています。PDO::SQLITE_ATTR_READONLY_STATEMENTは、PDOクラスに属する属性定数で、SQLiteデータベースへの接続において、以降のSQLステートメントを読み取り専用として扱い、データベースへの書き込み操作を禁止するために使用します。この定数自体には引数や直接の戻り値はありませんが、PDO::setAttribute()メソッドに設定値を渡すことで、その効果が有効になります。

コードではまず、SQLiteデータベースファイルを作成し、初期データを投入します。その後、PDO::SQLITE_ATTR_READONLY_STATEMENTをtrueに設定し、データベース接続を読み取り専用モードにします。キーワードとして挙げられたsqlite_escape_stringはPHP 8では利用できませんが、代わりにプリペアドステートメントを使用することで、ユーザーからの入力値を安全に処理し、SQLインジェクション攻撃を防ぐ最も推奨される方法を実演しています。最後に、読み取り専用モードが有効な状態で書き込み操作を試み、期待通りにエラーが発生することを確認することで、この定数がデータベースのデータ整合性とセキュリティ保護に役立つことを具体的に示しています。

Copy
1<?php
2
3/**
4 * SQLiteデータベースに接続し、PDO::SQLITE_ATTR_READONLY_STATEMENT 属性を使用して
5 * 読み取り専用のプリペアドステートメントを作成および実行するサンプルコードです。
6 *
7 * この関数は、システムエンジニアを目指す初心者向けに、PHP 8で追加された
8 * PDO::SQLITE_ATTR_READONLY_STATEMENT の基本的な使い方を示します。
9 *
10 * PDO::SQLITE_ATTR_READONLY_STATEMENT は、プリペアドステートメントを
11 * 読み取り専用としてマークするために使用される属性です。これにより、そのステートメントが
12 * データベースを変更する操作（例: INSERT, UPDATE, DELETE）を意図せず実行するのを防ぎます。
13 * 主にセキュリティの向上や、誤ったデータ変更を防ぐ目的で利用されます。
14 */
15function useReadonlySQLiteStatement(): void
16{
17    // メモリ内のSQLiteデータベースを使用します。ファイルは作成されません。
18    // キーワード 'sqlite_open' は古い関数であり、現代のPHPではPDOを使用します。
19    $dbPath = ':memory:'; 
20    $pdo = null; // PDOオブジェクトを初期化
21
22    try {
23        // PDO (PHP Data Objects) を使ってSQLiteデータベースに接続します。
24        // エラーモードを例外に設定し、フェッチモードを連想配列に設定します。
25        $pdo = new PDO("sqlite:$dbPath");
26        $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
27        $pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);
28
29        echo "SQLiteデータベースに接続しました。\n";
30
31        // usersテーブルが存在しない場合に作成します。
32        $pdo->exec("CREATE TABLE IF NOT EXISTS users (
33            id INTEGER PRIMARY KEY AUTOINCREMENT,
34            name TEXT NOT NULL,
35            email TEXT NOT NULL UNIQUE
36        );");
37        echo "usersテーブルを作成（または既に存在）しました。\n";
38
39        // サンプルデータを挿入します。
40        // この操作はデータベースを変更するため、読み取り専用ステートメントではありません。
41        $pdo->exec("INSERT OR IGNORE INTO users (name, email) VALUES ('Alice', 'alice@example.com');");
42        $pdo->exec("INSERT OR IGNORE INTO users (name, email) VALUES ('Bob', 'bob@example.com');");
43        echo "サンプルデータを挿入しました（既に存在する場合はスキップされます）。\n";
44
45        // 読み取り専用属性を設定したプリペアドステートメントを作成します。
46        // PDO::prepare() の第2引数に [PDO::SQLITE_ATTR_READONLY_STATEMENT => true] を指定します。
47        // これにより、このステートメントはデータベースの読み取りのみを行います。
48        $stmt = $pdo->prepare(
49            "SELECT id, name, email FROM users WHERE id > :id",
50            [PDO::SQLITE_ATTR_READONLY_STATEMENT => true]
51        );
52        echo "PDO::SQLITE_ATTR_READONLY_STATEMENT を設定したプリペアドステートメントを作成しました。\n";
53
54        // ステートメントを実行し、プレースホルダに値をバインドします。
55        $stmt->execute([':id' => 0]);
56
57        // 結果を取得し、表示します。
58        echo "取得したユーザーデータ:\n";
59        $users = $stmt->fetchAll();
60        foreach ($users as $user) {
61            echo "  ID: " . $user['id'] . ", 名前: " . $user['name'] . ", メール: " . $user['email'] . "\n";
62        }
63
64    } catch (PDOException $e) {
65        // データベース関連のエラーが発生した場合にキャッチし、メッセージを表示します。
66        echo "データベースエラーが発生しました: " . $e->getMessage() . "\n";
67    } finally {
68        // データベース接続を閉じます。
69        // PHPスクリプト終了時に自動的に閉じられますが、明示的にnullを設定することも一般的です。
70        $pdo = null;
71        echo "データベース接続を閉じました。\n";
72    }
73}
74
75// 上で定義した関数を実行します。
76useReadonlySQLiteStatement();
77

PHPのPDO::SQLITE_ATTR_READONLY_STATEMENTは、PHP 8で導入されたPDO（PHP Data Objects）の定数です。これは、SQLiteデータベースに対するプリペアドステートメントを「読み取り専用」としてマークするために使用されます。

この定数自体に引数や戻り値はありませんが、PDO::prepare() メソッドの第2引数であるオプション配列に [PDO::SQLITE_ATTR_READONLY_STATEMENT => true] と指定します。これにより、ステートメントが意図せずデータベースのデータを変更する操作（例: INSERT, UPDATE, DELETE）を実行するのを防ぎます。主な目的は、セキュリティ向上と誤ったデータ変更の防止です。

サンプルコードでは、メモリ上のSQLiteデータベースに接続し、データを挿入した後、SELECT文をこの属性で読み取り専用ステートメントとして準備し実行しています。php sqlite_openは古い関数であり、現代のPHPではPDOの使用が推奨されます。この定数は、安全なデータアクセスを保証し、予期せぬデータベース変更を防ぐために活用できます。