【PHP8.x】ENT_XHTML定数の使い方

Copy
1<?php
2
3/**
4 * htmlspecialchars関数のエンコーディングフラグの使用例を示します。
5 * ENT_XHTMLとENT_COMPATフラグの関連性を理解することを目的とします。
6 *
7 * @return void
8 */
9function demonstrateHtmlspecialcharsFlags(): void
10{
11    // HTML特殊文字を含む安全でない可能性のある文字列を定義します。
12    // ダブルクォートとシングルクォートの両方を含みます。
13    $unsafeString = "<script>alert('Hello \"World\"!');</script> <a href='link?id=\"1&amp;name=test\"'>Click here</a>";
14
15    echo "元の文字列:\n";
16    echo "--------------------------------------------------------------------------------\n";
17    echo htmlspecialchars($unsafeString) . "\n\n"; // 表示用にエスケープ
18
19    // 1. ENT_COMPAT (デフォルト):
20    // ダブルクォートのみをHTMLエンティティ (&quot;) に変換し、シングルクォートは変換しません。
21    // 大抵の場合、この動作で十分ですが、HTML属性値でシングルクォートが使われる場合は注意が必要です。
22    $encodedCompat = htmlspecialchars($unsafeString, ENT_COMPAT, 'UTF-8');
23    echo "ENT_COMPAT を使用した場合:\n";
24    echo "--------------------------------------------------------------------------------\n";
25    echo $encodedCompat . "\n\n";
26
27    // 2. ENT_QUOTES:
28    // ダブルクォート (&quot;) とシングルクォート (&#039; または &apos;) の両方をHTMLエンティティに変換します。
29    // これにより、HTML属性値をシングルクォートで囲む場合でも安全性が高まります。
30    $encodedQuotes = htmlspecialchars($unsafeString, ENT_QUOTES, 'UTF-8');
31    echo "ENT_QUOTES を使用した場合:\n";
32    echo "--------------------------------------------------------------------------------\n";
33    echo $encodedQuotes . "\n\n";
34
35    // 3. ENT_QUOTES | ENT_XHTML:
36    // ENT_QUOTES に加えて、ENT_XHTMLフラグを指定します。
37    // ENT_XHTMLは、生成されるエンティティがXHTMLのルールに準拠するように指示します。
38    // htmlspecialchars関数においては、このフラグ単体での視覚的な出力差はHTML5などと比較して非常に小さいか、
39    // 特定の文字セットやPHPのバージョンによっては見られない場合があります。
40    // 主に、XML/XHTMLの仕様に厳密に従う必要がある場合に、文書タイプを示す意図で使われます。
41    $encodedQuotesXhtml = htmlspecialchars($unsafeString, ENT_QUOTES | ENT_XHTML, 'UTF-8');
42    echo "ENT_QUOTES | ENT_XHTML を使用した場合:\n";
43    echo "--------------------------------------------------------------------------------\n";
44    echo $encodedQuotesXhtml . "\n\n";
45
46    echo "補足:\n";
47    echo "ENT_XHTMLフラグは、htmlspecialchars関数においてはエンティティの出力形式が\n";
48    echo "XHTMLのルールに準拠するように指示しますが、出力されるエンティティの差は\n";
49    echo "HTML5の場合と比較して微妙であり、多くのケースで視覚的な違いは現れません。\n";
50    echo "主に、XML/XHTML文書でHTML特殊文字を安全に表示する意図を示すために使用されます。\n";
51}
52
53// 関数を実行して、様々なフラグでの出力を確認します。
54demonstrateHtmlspecialcharsFlags();

このサンプルコードは、PHPのhtmlspecialchars関数を使用して、HTML特殊文字を安全に変換する方法を、異なるエンコーディングフラグを用いて示すものです。ENT_XHTMLはPHP 8で利用できる定数で、整数値を持ち、主にhtmlspecialchars関数などの第二引数に指定することで、生成されるHTMLエンティティがXHTMLのルールに準拠するよう指示します。この定数自体に引数はなく、特定の整数値を表します。

Webアプリケーションでは、ユーザーが入力したデータをそのまま表示すると、悪意のあるスクリプトが実行されるなどのセキュリティ上の脆弱性（クロスサイトスクリプティング）が発生する可能性があります。htmlspecialchars関数は、このような危険を防ぐために、HTMLにとって特別な意味を持つ文字（例: <、>、&、"、'）を、無害なHTMLエンティティ（例: <、>、&、"、'）に変換します。

サンプルコードでは、まずデフォルトのENT_COMPATフラグを使用した場合の動作を示しています。このフラグは、ダブルクォート（"）のみを変換し、シングルクォート（'）は変換しません。次にENT_QUOTESフラグを使用すると、ダブルクォートとシングルクォートの両方が変換され、より安全性が高まります。

そして、ENT_QUOTES | ENT_XHTMLのようにENT_XHTMLフラグを組み合わせた場合が示されています。ENT_XHTMLフラグを指定することで、htmlspecialchars関数はXHTMLの仕様に則ったエンティティを生成しようとします。これは主に、XMLやXHTML文書を作成する際に、より厳密な規約に準拠した出力を意図する場合に用います。現代のHTML5環境においては、このフラグ単体での視覚的な出力の違いはほとんど見られないことが多いですが、文書タイプを明確にする目的で利用されることがあります。

Copy
1<?php
2
3/**
4 * HTML特殊文字をXHTML形式で、かつ引用符を変換せずにエスケープする関数。
5 *
6 * この関数は、入力文字列に含まれるHTML特殊文字（<, >, &, など）をHTMLエンティティに変換します。
7 * また、XHTMLの出力規則に従い、二重引用符と単一引用符は変換せずに維持します。
8 *
9 * @param string $input 変換する元の文字列。
10 * @return string 変換された文字列。
11 */
12function escapeHtmlXhtmlNoQuotes(string $input): string
13{
14    // htmlspecialchars関数は、HTML特殊文字をHTMLエンティティに変換します。
15    // 第2引数(flags)には、複数の定数をビットOR演算子 (|) で組み合わせて指定できます。
16    //
17    // ENT_XHTML:
18    //   HTMLドキュメントがXHTMLとして扱われるべきであることを示します。
19    //   これにより、例えばHTMLの空要素 (<br>, <img>, <input>) がXHTML形式
20    //   (<br />, <img />, <input />) で出力されるようになります。
21    //
22    // ENT_NOQUOTES:
23    //   二重引用符 (") と単一引用符 (') をHTMLエンティティに変換しません。
24    //   これにより、HTML属性内で引用符をそのまま維持したい場合に便利です。
25    //
26    // 第3引数には、使用する文字エンコーディングを指定します。通常は 'UTF-8' を推奨します。
27    return htmlspecialchars($input, ENT_XHTML | ENT_NOQUOTES, 'UTF-8');
28}
29
30// ----------------------------------------------------
31// 関数の使用例と結果の比較
32// ----------------------------------------------------
33
34// 変換対象の元の文字列
35$originalString = "<a href='#' title=\"テスト\">リンクです</a> と <br> 改行があり、\"二重引用符\" と '単一引用符'、さらに & アンド記号です。";
36
37echo "--- 元の文字列 ---" . PHP_EOL;
38echo $originalString . PHP_EOL;
39// 出力例 (PHPの実行結果として、エスケープされていない元の文字列):
40// <a href='#' title="テスト">リンクです</a> と <br> 改行があり、"二重引用符" と '単一引用符'、さらに & アンド記号です。
41
42echo PHP_EOL . "--- ENT_XHTML | ENT_NOQUOTES を適用した場合 ---" . PHP_EOL;
43$escapedStringWithXhtmlNoQuotes = escapeHtmlXhtmlNoQuotes($originalString);
44echo $escapedStringWithXhtmlNoQuotes . PHP_EOL;
45// 出力例:
46// &lt;a href='#' title="テスト"&gt;リンクです&lt;/a&gt; と &lt;br /&gt; 改行があり、"二重引用符" と '単一引用符'、さらに &amp; アンド記号です。
47// (ポイント: <br> が &lt;br /&gt; (XHTML形式) に、<, >, & はエスケープされるが、引用符はそのまま残る)
48
49echo PHP_EOL . "--- 比較: デフォルトの htmlspecialchars() (ENT_COMPAT) ---" . PHP_EOL;
50// ENT_COMPAT は二重引用符のみを変換し、単一引用符は変換しません。
51// 空要素はXHTML形式になりません。
52$defaultEscaped = htmlspecialchars($originalString, ENT_COMPAT, 'UTF-8');
53echo $defaultEscaped . PHP_EOL;
54// 出力例:
55// &lt;a href=&#039;#&#039; title=&quot;テスト&quot;&gt;リンクです&lt;/a&gt; と &lt;br&gt; 改行があり、&quot;二重引用符&quot; と &#039;単一引用符&#039;、さらに &amp; アンド記号です。
56// (ポイント: 空要素 <br> はそのまま、二重引用符は &quot;、単一引用符は &#039; に変換される)
57
58echo PHP_EOL . "--- 比較: ENT_XHTML | ENT_QUOTES ---" . PHP_EOL;
59// ENT_QUOTES は二重引用符と単一引用符の両方を変換します。
60// 空要素はXHTML形式になります。
61$quotesEscaped = htmlspecialchars($originalString, ENT_XHTML | ENT_QUOTES, 'UTF-8');
62echo $quotesEscaped . PHP_EOL;
63// 出力例:
64// &lt;a href=&#039;#&#039; title=&quot;テスト&quot;&gt;リンクです&lt;/a&gt; と &lt;br /&gt; 改行があり、&quot;二重引用符&quot; と &#039;単一引用符&#039;、さらに &amp; アンド記号です。
65// (ポイント: <br> が &lt;br /&gt; (XHTML形式) に、二重引用符は &quot;、単一引用符は &#039; に変換される)

このPHPのサンプルコードは、ウェブアプリケーションでユーザーからの入力など、動的に生成される文字列をHTMLとして安全に出力するためのhtmlspecialchars関数の使い方を説明しています。特に、HTMLの特殊文字を変換しつつ、XHTMLの形式に合わせ、かつ引用符はそのまま維持したい場合に役立つ方法を示しています。

htmlspecialchars関数は、指定されたstring $inputに含まれるHTMLの特殊文字（例: <、>、&）を、ウェブブラウザが特殊な意味を持たない形式（例: <、>、&）に変換して返します。これにより、悪意のあるスクリプトの埋め込み（XSS攻撃）を防いだり、HTMLの表示が意図せず崩れるのを防いだりできます。

このコードでは、htmlspecialchars関数の第2引数（flags）にENT_XHTMLとENT_NOQUOTESという二つの定数を|（ビットOR演算子）で組み合わせて指定しています。 ENT_XHTML定数を指定すると、HTMLの出力がXHTMLのルールに則って行われます。例えば、<br>のような空要素タグは、XHTMLの自己終了タグ形式である<br />のように変換されます。 ENT_NOQUOTES定数を指定すると、文字列中の二重引用符 (") と単一引用符 (') はHTMLエンティティ（"や'など）に変換されずに、元の文字列のまま保持されます。これは、HTML属性値などで引用符をそのまま使いたい場合に便利です。

この関数は、変換された新しいstring型の文字列を戻り値として返します。サンプルコードの実行結果では、変換前の文字列と、ENT_XHTMLとENT_NOQUOTESを適用した後の文字列、そして他の定数を適用した場合の比較が示されており、これらの定数が具体的にどのように出力に影響を与えるかを確認できます。