【PHP8.x】DOMXPath::quote()メソッドの使い方

Copy
1<?php
2
3/**
4 * DOMXPath::quote を使用して、XPath式内で安全に文字列を扱うサンプルコード
5 *
6 * この関数は、シングルクォートとダブルクォートの両方を含む可能性のある文字列を
7 * XPathクエリに埋め込む方法を示します。
8 * DOMXPath::quote() は、文字列をXPathリテラルとして安全に使用できるよう、
9 * 適切にエスケープ・クォート処理をします。
10 */
11function findBookByComplexTitle(string $xmlContent, string $titleToFind): void
12{
13    // 1. DOMDocumentオブジェクトを作成し、XMLを読み込む
14    $dom = new DOMDocument();
15    $dom->loadXML($xmlContent);
16
17    // 2. DOMXPathオブジェクトを作成する
18    $xpath = new DOMXPath($dom);
19
20    // 3. DOMXPath::quote() を使って検索文字列を安全なXPathリテラルに変換する
21    // これにより、文字列内のクォートが原因でXPath式が壊れるのを防ぐ
22    $safeTitle = $xpath->quote($titleToFind);
23    echo "検索するタイトル: " . $titleToFind . PHP_EOL;
24    echo "quote() で変換されたXPathリテラル: " . $safeTitle . PHP_EOL . PHP_EOL;
25
26    // 4. 安全なリテラルを使用してXPathクエリを構築する
27    $query = "/books/book[@title = " . $safeTitle . "]";
28    echo "実行するXPathクエリ: " . $query . PHP_EOL;
29
30    // 5. XPathクエリを実行し、結果を取得する
31    $entries = $xpath->query($query);
32
33    // 6. 結果を出力する
34    if ($entries->length > 0) {
35        echo "書籍が見つかりました:" . PHP_EOL;
36        foreach ($entries as $entry) {
37            // DOMElementのnodeValueプロパティで要素のテキスト内容を取得
38            echo "- " . $entry->nodeValue . PHP_EOL;
39        }
40    } else {
41        echo "指定されたタイトルの書籍は見つかりませんでした。" . PHP_EOL;
42    }
43}
44
45// サンプル用のXMLデータ
46// title属性にシングルクォート(')とダブルクォート(")の両方が含まれている
47$xmlString = <<<XML
48<?xml version="1.0" encoding="UTF-8"?>
49<books>
50  <book title="A 'Simple' Guide">シンプルなガイド</book>
51  <book title='A "Complex" Guide'>複雑なガイド</book>
52  <book title="O'Malley's &quot;Pub&quot; Story">オマリーズ・パブ物語</book>
53</books>
54XML;
55
56// 検索したいタイトル (シングルクォートとダブルクォートを含む)
57$searchTitle = "O'Malley's \"Pub\" Story";
58
59// 関数を実行する
60findBookByComplexTitle($xmlString, $searchTitle);
61
62?>

DOMXPath::quote()メソッドは、XPathクエリの中で文字列を安全に扱うために使用します。XPathクエリでは、検索する値などの文字列をシングルクォート(')またはダブルクォート(")で囲みます。しかし、検索したい文字列自体にこれらのクォート文字が含まれていると、クエリの構文が壊れてしまい、エラーや意図しない検索結果の原因となります。

このquote()メソッドは、このような問題を解決します。引数に渡された文字列をXPathの仕様に従って自動的に処理し、安全なリテラル文字列（クエリ内でそのまま使える文字列）に変換して返します。引数には、XPathクエリに埋め込みたい文字列を指定します。戻り値として、シングルクォートまたはダブルクォートで適切に囲まれた、安全にクエリへ結合できる文字列が返されます。元の文字列に両方のクォートが含まれている場合でも、XPathが正しく解釈できる形式に変換されるため、開発者はエスケープ処理を自身で行う必要がありません。

サンプルコードでは、シングルクォートとダブルクォートの両方を含む書籍のタイトルを検索しています。quote()メソッドを利用することで、このような複雑な文字列でも確実に検索できるXPathクエリを安全かつ簡単に構築できることを示しています。

Copy
1<?php
2
3/**
4 * DOMXPath::quote() を使用して、特殊文字を含む書籍のタイトルから著者名を見つけます。
5 *
6 * DOMXPath::quote() は、XPath式内で安全に文字列を使用するために、
7 * 文字列を適切にクォート（引用符で囲む）します。
8 * これにより、シングルクォート(')やダブルクォート(")を含む文字列を扱う際の
9 * 構文エラーや、XPathインジェクションと呼ばれる脆弱性を防ぐことができます。
10 *
11 * @param string $xmlString 検索対象のXML文字列
12 * @param string $titleToSearch 検索する書籍のタイトル
13 * @return string|null 見つかった著者名、または見つからなかった場合はnull
14 */
15function findAuthorByQuotedTitle(string $xmlString, string $titleToSearch): ?string
16{
17    // 1. DOMDocumentオブジェクトを作成し、XMLを読み込みます。
18    $dom = new DOMDocument();
19    $dom->loadXML($xmlString);
20
21    // 2. DOMXPathオブジェクトをDOMDocumentから作成します。
22    $xpath = new DOMXPath($dom);
23
24    // 3. 検索文字列を DOMXPath::quote() で安全にクォートします。
25    // 例: "O'Malley's \"Irish\" Pub" -> "'O''Malley''s \"Irish\" Pub'" のようなXPathリテラル文字列に変換されます。
26    $safeTitle = $xpath->quote($titleToSearch);
27
28    // 4. クォートした文字列をXPathクエリに埋め込みます。
29    //    quote() を使わないと、タイトル内のクォートが原因でクエリが壊れてしまいます。
30    $query = "/library/book[title = {$safeTitle}]/author";
31
32    // 5. クエリを実行し、最初に見つかったノードの値（著者名）を取得します。
33    $authorNode = $xpath->query($query)->item(0);
34
35    // ノードが見つかった場合はそのテキスト内容を、見つからなかった場合は null を返します。
36    return $authorNode?->textContent;
37}
38
39// サンプル用のXMLデータ
40$xml = <<<XML
41<?xml version="1.0" encoding="UTF-8"?>
42<library>
43    <book>
44        <title>The Art of Programming</title>
45        <author>Jane Doe</author>
46    </book>
47    <book>
48        <title>O'Malley's "Irish" Pub Guide</title>
49        <author>John O'Malley</author>
50    </book>
51</library>
52XML;
53
54// シングルクォートとダブルクォートの両方を含むタイトルを検索します。
55$title = "O'Malley's \"Irish\" Pub Guide";
56
57// 関数を実行して著者を取得します。
58$author = findAuthorByQuotedTitle($xml, $title);
59
60if ($author) {
61    echo "書籍 '{$title}' の著者は '{$author}' です。" . PHP_EOL;
62} else {
63    echo "書籍 '{$title}' は見つかりませんでした。" . PHP_EOL;
64}

DOMXPath::quote()メソッドは、XPathクエリの中で文字列を安全に扱うために使用されます。

このメソッドの主な役割は、引数として受け取った文字列を、XPathの構文として正しく解釈されるように適切にクォート（引用符で囲むなどの処理）し、その結果を新しい文字列として返すことです。文字列の中にシングルクォート(')やダブルクォート(")などの特殊な記号が含まれている場合、そのままXPathクエリに埋め込むと、クエリ全体の構文が壊れてしまい、エラーが発生する原因となります。

サンプルコードでは、特殊な記号を含む書籍のタイトルを検索条件として使用しています。quote()メソッドを使ってこのタイトル文字列を安全な形式に変換してからクエリを組み立てることで、構文エラーを防ぎ、意図した通りに該当する書籍の著者名を取得しています。この処理により、予期せぬエラーや、XPathインジェクションと呼ばれるセキュリティ上の脆弱性を未然に防ぐことができます。