【PHP8.x】addslashes関数の使い方

Copy
1<?php
2
3/**
4 * このスクリプトは、PHPのaddslashes()関数とstripslashes()関数の基本的な使用方法を示します。
5 * addslashes()は、シングルクォート、ダブルクォート、バックスラッシュ、NULLバイトといった
6 * 特殊文字の前にバックスラッシュを追加し、文字列をエスケープします。
7 * これは、例えば文字列をデータベースに保存する前などに、意図しない解釈やエラーを防ぐために利用されることがあります。
8 *
9 * stripslashes()は、addslashes()によって追加されたバックスラッシュを取り除き、
10 * 文字列を元の状態に戻すために使用されます。
11 */
12
13// ユーザー入力や外部データ源から取得したと想定される、特殊文字を含む文字列。
14// 例として、シングルクォート、ダブルクォート、バックスラッシュが含まれています。
15$originalString = "彼女は「これはO'Reillyの本です。」と言いました。\\特別な記号\\";
16
17echo "元の文字列（ユーザー入力の想定）: " . $originalString . PHP_EOL;
18
19// addslashes() を使用して文字列をエスケープします。
20// 各特殊文字（', ", \, NUL）の前にバックスラッシュが追加されます。
21$escapedString = addslashes($originalString);
22
23echo "addslashes() でエスケープ後（データベース保存を想定）: " . $escapedString . PHP_EOL;
24
25// stripslashes() を使用して、エスケープされた文字列からバックスラッシュを取り除き、元の形式に戻します。
26// addslashes()によって追加されたバックスラッシュのみが取り除かれます。
27$unescapedString = stripslashes($escapedString);
28
29echo "stripslashes() で元に戻した後（画面表示を想定）: " . $unescapedString . PHP_EOL;
30
31// 元の文字列と、stripslashes() で元に戻した文字列が完全に一致するかを確認します。
32if ($originalString === $unescapedString) {
33    echo "結果: 元の文字列と、stripslashes() で元に戻した文字列は正確に一致しました。" . PHP_EOL;
34} else {
35    echo "エラー: 文字列が一致しません。何らかの問題が発生した可能性があります。" . PHP_EOL;
36}
37
38?>

PHPのaddslashes()関数は、文字列に含まれる特定の特殊文字（シングルクォート '、ダブルクォート "、バックスラッシュ \、NULLバイト）の直前にバックスラッシュを追加し、文字列をエスケープするために使用されます。これは、例えば文字列をデータベースに保存する際に、特殊文字が意図しないデータ解釈やエラーを引き起こすのを防ぐ目的で利用されます。この関数は、エスケープしたい文字列（string $string）を引数として受け取り、バックスラッシュが追加された新しい文字列（string）を戻り値として返します。

対照的に、stripslashes()関数は、addslashes()によって追加されたバックスラッシュを取り除き、文字列を元の状態に戻す役割を持ちます。この関数も、処理したい文字列を引数（string $string）として受け取り、バックスラッシュが取り除かれた新しい文字列（string）を戻り値として返します。

このサンプルコードでは、まず特殊文字を含む文字列を定義し、それをaddslashes()関数でエスケープしています。エスケープされた文字列では、特殊文字の前にバックスラッシュが付加されていることが確認できます。次に、そのエスケープされた文字列をstripslashes()関数に渡して、追加されたバックスラッシュを取り除き、文字列を元の形式に戻しています。最後に、処理後の文字列が元の文字列と完全に一致するかどうかを検証し、これら二つの関数が対になって文字列の変換と復元を正しく行えることを示しています。これらの関数は、データの整合性を保ちながら、異なる処理環境での文字列の表現を適切に管理する際に役立ちます。

Copy
1<?php
2
3/**
4 * PHPのaddslashes()関数の動作と、SQLインジェクション対策としての限界を
5 * システムエンジニアを目指す初心者向けに示します。
6 *
7 * addslashes()は、シングルクォート ('), ダブルクォート ("), バックスラッシュ (\)、
8 * そして NUL (NULLバイト) 文字をバックスラッシュでエスケープします。
9 * データベースクエリに文字列を挿入する際に使われることがありましたが、
10 * SQLインジェクション攻撃を完全に防ぐには不十分であり、推奨されません。
11 *
12 * セキュリティを確保するためには、常にプリペアドステートメントを使用すべきです。
13 */
14function demonstrateAddslashesSecurityIssues(): void
15{
16    // ユーザーからの入力値を模倣します。
17    // この入力には、SQLインジェクション攻撃を試みるような特殊文字が含まれています。
18    $userInput = "O'Malley; DROP TABLE users; --";
19
20    // addslashes()関数を適用します。
21    // シングルクォートなどがエスケープされることを確認できます。
22    $escapedInput = addslashes($userInput);
23
24    echo "--- addslashes() 関数とセキュリティに関する注意点 ---\n";
25    echo "元のユーザー入力: " . $userInput . "\n";
26    echo "addslashes() 適用後の出力: " . $escapedInput . "\n\n";
27
28    echo "セキュリティに関する注意:\n";
29    echo "addslashes() は一部の文字をエスケープしますが、SQLインジェクション攻撃を\n";
30    echo "防ぐための安全な方法ではありません。文字エンコーディングの違いや、\n";
31    echo "SQL文の他の部分への影響など、多くの脆弱性が残る可能性があります。\n";
32    echo "そのため、データベースへのアクセス時にはaddslashes()を使用せず、\n";
33    echo "必ずプリペアドステートメント（PDOなど）とパラメータ化クエリを使用してください。\n";
34    echo "これはシステムセキュリティの基本原則です。\n\n";
35
36    echo "安全なデータ挿入の概念（具体的なデータベース接続はありません）：\n";
37    echo "  // 推奨される安全な方法（プリペアドステートメントを使用）：\n";
38    echo "  // \$stmt = \$pdo->prepare(\"INSERT INTO users (name) VALUES (?)\");\n";
39    echo "  // \$stmt->execute([\$userInput]); // ここでは生のユーザー入力を渡します\n\n";
40
41    echo "  // 避けるべき不安全な方法（addslashes()を使っても不十分）：\n";
42    echo "  // \$query = \"INSERT INTO users (name) VALUES ('\" . \$escapedInput . \"')\";\n";
43    echo "--------------------------------------------------------\n";
44}
45
46// 上記のデモンストレーション関数を実行します。
47demonstrateAddslashesSecurityIssues();
48
49?>

PHPのaddslashes()関数は、引数string $stringで指定された文字列を受け取り、シングルクォート ('), ダブルクォート ("), バックスラッシュ ()、そしてNULバイト文字の前にバックスラッシュを追加してエスケープし、その結果の文字列を返します。この関数は、かつてデータベースクエリに文字列を挿入する際の簡単な対策として用いられることがありましたが、現在のPHP 8の環境では、SQLインジェクション攻撃を完全に防ぐには不十分であるため、使用は推奨されません。

サンプルコードでは、「O'Malley; DROP TABLE users; --」のようなSQLインジェクションを意図したユーザー入力に対してaddslashes()を適用した結果を示しています。確かに一部の特殊文字はエスケープされますが、これだけでは文字エンコーディングの問題やSQL文の他の部分への影響など、多くの脆弱性が残る可能性があります。

システムエンジニアとしてセキュリティを確保するためには、データベースへのデータ挿入時にはaddslashes()を使用せず、必ずPDOなどのプリペアドステートメントとパラメータ化クエリを使用してください。これはユーザーからの入力を安全に扱い、SQLインジェクション攻撃からシステムを保護するための、極めて重要なセキュリティの基本原則です。