【PHP8.x】php_user_filter::filternameプロパティの使い方

Copy
1<?php
2
3/**
4 * ユーザー定義ストリームフィルタの例。
5 * php_user_filter を継承し、ストリームデータの処理方法を定義します。
6 */
7class MySimpleFilter extends php_user_filter
8{
9    /**
10     * ストリームフィルタの主要な処理ロジックを実装します。
11     * このメソッドはストリームの読み書き時に自動的に呼び出されます。
12     *
13     * @param resource $in 入力バケットブリッジ
14     * @param resource $out 出力バケットブリッジ
15     * @param int $consumed 処理されたバイト数
16     * @param bool $closing ストリームが閉じられようとしているか
17     * @return int 成功時は PSFS_PASS_ON、エラー時は PSFS_ERR_FATAL
18     */
19    public function filter($in, $out, &$consumed, $closing): int
20    {
21        // filtername プロパティは、このフィルタが登録された名前を保持します。
22        // ここでは、フィルタ処理のデバッグ情報としてフィルタ名を出力します。
23        echo "DEBUG: フィルタ '" . $this->filtername . "' が呼び出されました。\n";
24
25        while ($bucket = stream_bucket_make_writeable($in)) {
26            // フィルタリングロジックの例: テキストを大文字に変換し、特定の単語を置換
27            $bucket->data = strtoupper($bucket->data);
28            $bucket->data = str_replace('EXAMPLE', 'REPLACED_TEXT', $bucket->data);
29
30            $consumed += $bucket->datalen;
31            stream_bucket_append($out, $bucket);
32        }
33
34        return PSFS_PASS_ON;
35    }
36}
37
38// ----------------------------------------------------
39// ユーザー定義ストリームフィルタと filter_var の使用例
40// ----------------------------------------------------
41
42// 1. ユーザー定義フィルタをシステムに登録します。
43//    "my_custom_filter" という名前で MySimpleFilter クラスを登録します。
44if (!stream_filter_register('my_custom_filter', MySimpleFilter::class)) {
45    die("エラー: フィルタ 'my_custom_filter' の登録に失敗しました。\n");
46}
47echo "情報: フィルタ 'my_custom_filter' が正常に登録されました。\n";
48
49// 2. 一時的なメモリストリームを作成します。
50//    php://temp は、小さなデータはメモリ、大きなデータは一時ファイルを使用するストリームです。
51$stream = fopen('php://temp', 'r+');
52if ($stream === false) {
53    die("エラー: ストリームのオープンに失敗しました。\n");
54}
55echo "情報: ストリームがオープンされました。\n";
56
57// 3. ストリームに初期データを書き込みます。
58$originalData = "Hello World, this is an EXAMPLE string for filtering.";
59fwrite($stream, $originalData);
60echo "情報: オリジナルデータがストリームに書き込まれました: '" . $originalData . "'\n";
61
62// 4. 書き込みポインタをストリームの先頭にリセットします。
63rewind($stream);
64
65// 5. 登録したユーザー定義フィルタをストリームに適用（追加）します。
66//    STREAM_FILTER_READ を指定することで、ストリームから読み出す際にフィルタが適用されます。
67if (!stream_filter_append($stream, 'my_custom_filter', STREAM_FILTER_READ)) {
68    die("エラー: フィルタ 'my_custom_filter' の適用に失敗しました。\n");
69}
70echo "情報: フィルタ 'my_custom_filter' がストリームに適用されました。\n";
71
72// 6. ストリームからデータを読み出し、フィルタリングされた内容を取得します。
73//    ここで MySimpleFilter の filter() メソッドが呼び出され、データが変換されます。
74$filteredData = stream_get_contents($stream);
75echo "結果: フィルタリングされたデータ: '" . $filteredData . "'\n";
76
77// 7. filter_var 関数を使って、フィルタリングされたデータの一部をさらに処理します。
78//    filter_var は、変数の検証やサニタイズ（無害化）に広く使われるPHPの組み込み関数です。
79//    ここでは、例として有効なURLかどうかの検証を行います。
80echo "\n--- filter_var による追加処理 ---\n";
81
82$testStringForValidation = "http://www.example.com/path?query=1"; // 検証する文字列の例
83
84// filter_var を使用して、文字列が有効なURL形式であるかを検証します。
85if (filter_var($testStringForValidation, FILTER_VALIDATE_URL)) {
86    echo "filter_var 結果: '" . $testStringForValidation . "' は有効なURLです。\n";
87} else {
88    echo "filter_var 結果: '" . $testStringForValidation . "' は無効なURLです。\n";
89}
90
91// 無効なURLの例
92$invalidUrl = "not-a-url";
93if (filter_var($invalidUrl, FILTER_VALIDATE_URL)) {
94    echo "filter_var 結果: '" . $invalidUrl . "' は有効なURLです。\n";
95} else {
96    echo "filter_var 結果: '" . $invalidUrl . "' は無効なURLです。\n";
97}
98
99// ストリームを閉じます。
100fclose($stream);
101echo "情報: ストリームが閉じられました。\n";
102
103?>

PHPのユーザー定義ストリームフィルタは、ファイルやネットワーク通信などのデータ処理を途中で変更するための仕組みです。独自のフィルタを作成するには、php_user_filterクラスを継承します。その際、filternameプロパティには、このフィルタがシステムに登録された名前が自動的に設定されます。フィルタ内部では、この名前を使って自身の識別やデバッグ情報への利用が可能です。

フィルタの主要な処理はfilterメソッドに記述します。このメソッドはストリームの読み書き時に自動的に呼び出され、$inから入力データを受け取り、加工して$outへ出力します。&$consumedで処理したバイト数を記録し、$closingでストリームの終了状態を確認します。処理が成功した場合はPSFS_PASS_ONを返します。

このフィルタは、stream_filter_register関数でシステムに登録され、その後stream_filter_append関数を使って具体的なストリームに適用します。これにより、ストリームからデータを読み出す際に、定義したfilterメソッドが実行され、データが変換されます。

さらに、PHPにはfilter_varという組み込み関数があり、これは変数の検証やサニタイズ（無害化）に広く使われます。例えば、ストリームフィルタで処理された後のデータが、特定のフォーマット（URLなど）に準拠しているかをfilter_varで確認することができます。これらの機能は、PHPアプリケーションにおけるデータ処理の柔軟性と安全性を高めるために活用されます。

Copy
1<?php
2
3/**
4 * 外部からの入力を安全に取得し、サニタイズまたはバリデーションを行う関数。
5 *
6 * この関数は、GETまたはPOSTリクエストから指定されたフィールドの値を取得し、
7 * サニタイズ（無害化）またはバリデーション（検証）を適用します。
8 * システムエンジニアを目指す初心者にとって、ユーザー入力のセキュリティ処理は
9 * 非常に重要なスキルです。
10 *
11 * @param int $inputType 取得元となる外部変数タイプ (例: PHP_INPUT_GET, PHP_INPUT_POST)
12 * @param string $inputName 取得する入力フィールドの名前 (例: 'id', 'email')
13 * @param int $filterType 適用するフィルタの種類 (例: FILTER_SANITIZE_NUMBER_INT, FILTER_VALIDATE_EMAIL)
14 * @param mixed $options フィルタのオプション (オプション、例: ['options' => ['min_range' => 1]])
15 * @return mixed フィルタリングされた値、またはフィルタリング失敗時にfalse/null
16 */
17function getFilteredInput(int $inputType, string $inputName, int $filterType, mixed $options = null): mixed
18{
19    // filter_input() は、外部変数 (GET, POST, COOKIE, SERVER, ENV) から特定の変数を取得し、
20    // フィルタリングを適用します。これにより、クロスサイトスクリプティング (XSS) や
21    // その他の一般的な攻撃から保護するのに役立ちます。
22    return filter_input($inputType, $inputName, $filterType, $options);
23}
24
25// 単体で動作可能にするため、テスト用の$_GET変数を設定します。
26// 通常はブラウザからのGETリクエストでこれらの値が自動的に設定されます。
27// 例: http://localhost/your_script.php?userId=123abc&email=test@example.com&userName=<h1>Test</h1>&invalidEmail=invalid-example.com
28$_GET['userId'] = '123abc';
29$_GET['email'] = 'test@example.com';
30$_GET['userName'] = '<h1>Test Name</h1>';
31$_GET['invalidEmail'] = 'invalid-example.com';
32
33
34// ユーザーIDの取得とサニタイズ
35// FILTER_SANITIZE_NUMBER_INT は、数値以外の文字をすべて削除します。
36// 例: '123abc' -> '123'
37$userId = getFilteredInput(PHP_INPUT_GET, 'userId', FILTER_SANITIZE_NUMBER_INT);
38if ($userId !== null && $userId !== false) {
39    echo "ユーザーID: " . $userId . " (型: " . gettype($userId) . ")\n";
40} else {
41    echo "ユーザーIDの取得またはサニタイズに失敗しました。\n";
42}
43
44// Eメールアドレスの取得とバリデーション
45// FILTER_VALIDATE_EMAIL は、有効なメールアドレス形式かどうかを検証します。
46// 有効なメール形式でなければ false を返します。
47$userEmail = getFilteredInput(PHP_INPUT_GET, 'email', FILTER_VALIDATE_EMAIL);
48if ($userEmail !== null && $userEmail !== false) {
49    echo "メールアドレス: " . $userEmail . " (型: " . gettype($userEmail) . ")\n";
50} else {
51    echo "メールアドレスの取得またはバリデーションに失敗しました。\n";
52}
53
54// 無効なEメールアドレスの例
55$invalidUserEmail = getFilteredInput(PHP_INPUT_GET, 'invalidEmail', FILTER_VALIDATE_EMAIL);
56if ($invalidUserEmail !== null && $invalidUserEmail !== false) {
57    echo "無効なメールアドレス ('invalidEmail') がバリデーションを通過しました (予期しない結果)。\n";
58} else {
59    echo "無効なメールアドレス ('invalidEmail') のバリデーションに失敗しました。\n"; // こちらが出力される
60}
61
62// ユーザー名の取得とサニタイズ（HTMLタグを除去）
63// FILTER_SANITIZE_SPECIAL_CHARS は、特殊文字をHTMLエンティティに変換します (&lt;h1&gt;など)。
64// これにより、XSS攻撃を防ぐのに役立ちます。
65$userName = getFilteredInput(PHP_INPUT_GET, 'userName', FILTER_SANITIZE_SPECIAL_CHARS);
66if ($userName !== null && $userName !== false) {
67    echo "ユーザー名: " . $userName . "\n";
68} else {
69    echo "ユーザー名の取得またはサニタイズに失敗しました。\n";
70}
71
72// 存在しない入力フィールドの例
73// フィールドが存在しない場合、filter_input() は null を返します。
74// PHP 8.0 以降では FILTER_SANITIZE_STRING は非推奨のため、FILTER_UNSAFE_RAW を使用します。
75$nonExistentField = getFilteredInput(PHP_INPUT_GET, 'nonExistent', FILTER_UNSAFE_RAW);
76if ($nonExistentField === null) {
77    echo "存在しないフィールド 'nonExistent' は null を返しました。\n";
78}

PHPのfilter_input関数は、ウェブアプリケーションでユーザーからの入力を安全に取得し、処理するための重要な機能です。システムエンジニアを目指す初心者にとって、外部からの悪意あるデータからシステムを保護するセキュリティ対策の基礎を学ぶ上で欠かせません。

このサンプルコードでは、filter_input関数を使いやすくするためのラッパー関数getFilteredInputを定義しています。filter_input関数は、第一引数で入力の種類（例: PHP_INPUT_GETでURLパラメータ、PHP_INPUT_POSTでフォームデータ）を指定し、第二引数で取得したい入力フィールドの名前を指定します。第三引数には、適用したいフィルタの種類（例: FILTER_SANITIZE_NUMBER_INTで数値のみを抽出、FILTER_VALIDATE_EMAILでメールアドレス形式を検証、FILTER_SANITIZE_SPECIAL_CHARSでHTMLタグを無害化）を指定します。

filter_input関数は、フィルタリングに成功した場合は処理済みの値を返し、失敗した場合はfalseを、指定された入力フィールドが存在しない場合はnullを返します。この戻り値を適切にチェックすることで、ユーザーが入力したデータが数値として期待される場所に文字列を渡したり、不適切なメールアドレス形式であったり、悪意のあるスクリプトを含んでいたりする事態を防ぎ、堅牢なアプリケーションを開発できるようになります。