【PHP8.x】loadXMLメソッドの使い方

Copy
1<?php
2
3/**
4 * XML データを読み込み、DOMDocument オブジェクトを生成する。
5 * loadXML の脆弱性を利用した XXE 攻撃を防ぐための対策を含む。
6 *
7 * @param string $xmlData XML データ
8 * @return DOMDocument|false DOMDocument オブジェクト、またはエラー時に false
9 */
10function loadXMLSafely(string $xmlData): DOMDocument|false
11{
12    $dom = new DOMDocument();
13
14    // libxml のエラーハンドリングを有効にする
15    libxml_use_internal_errors(true);
16
17    // XML データの読み込み
18    $success = $dom->loadXML($xmlData, LIBXML_NOENT | LIBXML_DTDLOAD | LIBXML_DTDATTR);
19
20    if ($success === false) {
21        // エラー処理
22        $errors = libxml_get_errors();
23        foreach ($errors as $error) {
24            error_log("XML Error: " . $error->message);
25        }
26        libxml_clear_errors();
27        return false;
28    }
29
30    // XXE 対策: 外部エンティティの展開を無効化 (PHP 8.0 以降はデフォルトで無効ですが、明示的に設定)
31    $dom->setProperty('resolveExternals', false);
32
33    // XXE 対策: DTD の読み込みを無効化
34    libxml_disable_entity_loader();
35
36    return $dom;
37}
38
39// サンプルの XML データ (XXE 脆弱性を含む可能性がある)
40$xmlData = '<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]><foo>&xxe;</foo>';
41
42// XML データの安全な読み込み
43$dom = loadXMLSafely($xmlData);
44
45if ($dom !== false) {
46    // XML データの処理
47    echo "XML loaded successfully.\n";
48    // 例: ルート要素の内容を表示
49    echo $dom->documentElement->textContent . "\n";
50} else {
51    echo "Failed to load XML.\n";
52}
53
54// 外部エンティティローダーを再度有効化する (必要な場合のみ)
55libxml_disable_entity_loader(false);

このサンプルコードは、PHPのDOMDocumentクラスのloadXMLメソッドを使用してXMLデータを安全に読み込む方法を示しています。loadXMLメソッドは、文字列として与えられたXMLデータを解析し、DOMDocumentオブジェクトとして表現します。引数$sourceにはXMLデータの文字列を指定します。オプションの引数$optionsは、XMLの解析に関する追加の設定を指定するために使用します。ここでは、LIBXML_NOENT, LIBXML_DTDLOAD, LIBXML_DTDATTRを使用し、外部エンティティの展開を抑制し、DTDの読み込みを許可する設定をしています。

このコードでは、特にXXE（XML External Entity）攻撃と呼ばれるセキュリティ上の脆弱性に対する対策が施されています。libxml_use_internal_errors(true)によって、XML解析時のエラーを捕捉できるようにしています。$dom->setProperty('resolveExternals', false)を設定することで、外部エンティティの解決を無効化し、libxml_disable_entity_loader()でDTDの読み込みを無効化します。これにより、悪意のあるXMLデータによるファイルアクセスや情報漏洩のリスクを軽減できます。

loadXMLSafely関数は、XMLデータの読み込みに成功した場合にDOMDocumentオブジェクトを返し、エラーが発生した場合にはfalseを返します。エラー発生時には、libxml_get_errors()でエラー情報を取得し、エラーログに出力します。最後に、必要に応じてlibxml_disable_entity_loader(false)でエンティティローダーを再度有効化できます。

このサンプルは、システムエンジニアを目指す方が、XMLデータを安全に扱うための基本的な考え方と実装方法を理解するのに役立ちます。

Copy
1<?php
2
3/**
4 * XML文字列をDOMDocumentにロードするサンプルコード。
5 * XXE脆弱性対策としてlibxml_disable_entity_loader()を使用。
6 *
7 * @param string $xmlString XML文字列
8 * @return DOMDocument|false DOMDocumentオブジェクト、またはエラー時にfalse
9 */
10function loadXmlFromString(string $xmlString): DOMDocument|false
11{
12    // XXE脆弱性対策: 外部エンティティの読み込みを無効化
13    libxml_disable_entity_loader();
14
15    $dom = new DOMDocument();
16
17    // XMLをロード
18    if ($dom->loadXML($xmlString)) {
19        return $dom;
20    } else {
21        return false; // エラーが発生した場合
22    }
23}
24
25// XML文字列の例（XXE脆弱性を含む可能性がある）
26$xmlString = <<<XML
27<?xml version="1.0" encoding="UTF-8"?>
28<!DOCTYPE foo [
29  <!ENTITY xxe SYSTEM "php://filter/convert.base64-encode/resource=/etc/passwd">
30]>
31<foo>
32  <bar>&xxe;</bar>
33</foo>
34XML;
35
36// XML文字列をロード
37$dom = loadXmlFromString($xmlString);
38
39// ロードに成功した場合、内容を表示
40if ($dom) {
41    echo "XMLのロードに成功しました。\n";
42    // XXE対策により、/etc/passwdの内容は展開されず、&xxe; がそのまま表示される。
43    echo $dom->saveXML();
44} else {
45    echo "XMLのロードに失敗しました。\n";
46}
47
48// XXE脆弱性対策を再度有効化 (必要に応じて)
49libxml_disable_entity_loader(false);

このサンプルコードは、PHPのDOMDocumentクラスのloadXMLメソッドを使用して、XML文字列をDOMDocumentオブジェクトにロードする方法を示しています。loadXMLメソッドは、第一引数にXML文字列$sourceを受け取り、オプションで第二引数に$optionsフラグを指定できます。成功時にはtrueを返します。

重要な点として、このサンプルコードには、XML外部エンティティ（XXE）攻撃と呼ばれるセキュリティ脆弱性への対策が含まれています。XXE攻撃は、悪意のあるXMLドキュメントを通じてサーバー上のファイルにアクセスしたり、機密情報を漏洩させたりする可能性があります。

この対策として、libxml_disable_entity_loader()関数を使用して、外部エンティティの読み込みを無効化しています。これにより、XMLドキュメント内の外部エンティティ参照は展開されず、XXE攻撃のリスクを軽減できます。

サンプルコードでは、XXE脆弱性を含む可能性のあるXML文字列の例$xmlStringを定義し、loadXmlFromString関数でloadXMLメソッドを使用してロードを試みています。ロードに成功した場合、saveXMLメソッドを使用してDOMDocumentオブジェクトの内容を表示します。ただし、libxml_disable_entity_loader()によってXXE攻撃はブロックされるため、期待されるような外部ファイルの内容は表示されません。

最後に、必要に応じてlibxml_disable_entity_loader(false)を使用して、外部エンティティの読み込みを再度有効化できます。セキュリティ要件に応じて適切な設定を行ってください。このサンプルコードは、安全なXML処理の基本を理解するのに役立ちます。