【PHP8.x】escapeshellarg関数の使い方

Copy
1<?php
2
3/**
4 * escapeshellarg vs escapeshellcmd の違いをデモンストレーションします。
5 *
6 * escapeshellarg は、ユーザー入力などの単一の文字列をシェルコマンドの引数として
7 * 安全に渡すために使用されます。文字列全体が単一の引数として扱われるように、
8 * 引用符で囲み、内部の特殊文字をエスケープします。
9 *
10 * escapeshellcmd は、コマンド文字列全体を安全にするために使用されます。
11 * シェルのメタ文字をエスケープすることで、追加のコマンドが注入されるのを防ぎますが、
12 * スペースを含む引数を単一の引数としてグループ化する機能はありません。
13 */
14function demonstrateShellEscapingVs(): void
15{
16    // ユーザー入力として、スペースやシェルコマンドの区切り文字が含まれる文字列を想定
17    $userInput = "my file with spaces.txt; echo HACKED";
18
19    echo "--- 元のユーザー入力 ---\n";
20    echo "入力: '$userInput'\n\n";
21
22    echo "--- escapeshellarg を引数に適用した場合 ---\n";
23    // escapeshellarg は、入力全体を単一の引数として安全に処理します。
24    // 例: ls -l "my file with spaces.txt; echo HACKED"
25    $escapedArg = escapeshellarg($userInput);
26    $commandWithArg = "ls -l " . $escapedArg;
27    echo "escapeshellarg 適用後の引数: $escapedArg\n";
28    echo "構築されるコマンド (例): $commandWithArg\n";
29    echo "効果: シェルは入力全体を単一のファイル名として扱います。\n";
30    echo "      '; echo HACKED' はファイル名の一部として解釈され、別途コマンド実行はされません。\n\n";
31
32    echo "--- escapeshellcmd をコマンド文字列全体に適用した場合 ---\n";
33    // escapeshellcmd は、コマンド文字列全体のメタ文字をエスケープします。
34    // しかし、スペースを含む引数をグループ化する機能はありません。
35    // 例: ls -l my\ file\ with\ spaces.txt\;\ echo\ HACKED
36    $baseCommand = "ls -l ";
37    $fullCommandString = $baseCommand . $userInput;
38    $escapedCmd = escapeshellcmd($fullCommandString);
39    echo "escapeshellcmd 適用後のコマンド文字列: $escapedCmd\n";
40    echo "構築されるコマンド (例): $escapedCmd\n";
41    echo "効果: コマンドインジェクション（'; echo HACKED' の実行）は防がれますが、\n";
42    echo "      'my', 'file', 'with', 'spaces.txt;', 'echo', 'HACKED' はそれぞれ別の引数として解釈されます。\n";
43    echo "      結果として、'ls' は複数の存在しないファイルをリストしようとするでしょう。\n\n";
44
45    echo "--- どちらを使うべきか ---\n";
46    echo "ユーザー入力を *単一の引数* (例: ファイル名) としてシェルに渡す場合は、**escapeshellarg** を使用してください。\n";
47    echo "あなたが組み立てた *コマンド文字列全体* に、シェルの特殊文字による意図しない動作や\n";
48    echo "コマンドインジェクションを防ぐ必要がある場合は、**escapeshellcmd** を使用してください。\n";
49    echo "しかし、通常はユーザー入力の引数部分に escapeshellarg を適用し、その結果をコマンドに結合するのが最も安全です。\n";
50}
51
52// デモンストレーションを実行
53demonstrateShellEscapingVs();

escapeshellarg関数は、シェルコマンドへ安全に引数を渡すために使用する関数です。引数として渡された文字列を、シェルが確実に単一の引数として解釈できるように処理し、その結果を文字列として返します。具体的には、文字列全体をシングルクォートなどで囲み、内部の特殊文字を無害化します。これにより、スペースやセミコロン（;）を含むユーザー入力が、意図せず複数の引数に分割されたり、悪意のあるコマンドとして実行されたりするのを防ぎます。

似た関数にescapeshellcmdがありますが、これはコマンド文字列全体のメタ文字をエスケープするもので、引数を一つにまとめる機能はありません。そのため、ユーザー入力をファイル名などの単一の引数として安全にコマンドへ渡したい場合には、escapeshellargを使用することが不可欠です。