【PHP8.x】strcasecmp関数の使い方

Copy
1<?php
2
3/**
4 * strcasecmp関数の使用例。
5 *
6 * strcasecmpは、大文字・小文字を区別せずに2つの文字列を比較します。
7 *
8 * 戻り値:
9 * - 0: $string1と$string2が大文字・小文字を無視して等しい場合。
10 * - 0より小さい値: $string1が大文字・小文字を無視して$string2より小さい場合（アルファベット順で前にある場合）。
11 * - 0より大きい値: $string1が大文字・小文字を無視して$string2より大きい場合（アルファベット順で後ろにある場合）。
12 *
13 * @param string $string1 比較する最初の文字列
14 * @param string $string2 比較する2番目の文字列
15 */
16function compareStringsCaseInsensitive(string $string1, string $string2): void
17{
18    echo "--- 大文字・小文字を区別しない比較 (strcasecmp) ---\n";
19    echo "比較対象: '{$string1}' と '{$string2}'\n";
20
21    $result = strcasecmp($string1, $string2);
22
23    echo "結果: {$result}\n";
24
25    if ($result === 0) {
26        echo "  -> 2つの文字列は大文字・小文字を無視すると等しいです。\n\n";
27    } elseif ($result < 0) {
28        echo "  -> '{$string1}' は大文字・小文字を無視すると '{$string2}' より小さい（アルファベット順で前）です。\n\n";
29    } else { // $result > 0
30        echo "  -> '{$string1}' は大文字・小文字を無視すると '{$string2}' より大きい（アルファベット順で後）です。\n\n";
31    }
32}
33
34// サンプルコード実行例
35compareStringsCaseInsensitive("Hello World", "hello world"); // 等しい例 (0を返す)
36compareStringsCaseInsensitive("apple", "Banana");          // 小さい例 (<0を返す)
37compareStringsCaseInsensitive("Zebra", "ant");             // 大きい例 (>0を返す)
38compareStringsCaseInsensitive("PHP", "php");               // 等しい例 (0を返す)
39
40?>

このPHPサンプルコードは、strcasecmp関数の使い方を具体的に示しています。strcasecmp関数は、2つの文字列を比較する際に、大文字・小文字を区別しない点が大きな特徴です。

引数には、比較したい2つの文字列$string1と$string2を指定します。戻り値は整数値で、比較の結果を表します。具体的には、2つの文字列が大文字・小文字を無視して完全に等しい場合は0が返されます。もし$string1が$string2よりもアルファベット順で前にある場合（大文字・小文字を無視）、0より小さい値が返されます。逆に$string1が$string2よりもアルファベット順で後ろにある場合（大文字・小文字を無視）、0より大きい値が返されます。

サンプルコード内のcompareStringsCaseInsensitive関数では、このstrcasecmp関数を使って様々な文字列の組み合わせを比較しています。「Hello World」と「hello world」のように大文字・小文字が異なるだけの文字列が等しいと判断される例や、アルファベット順の前後関係に基づいた比較結果が確認できます。この関数は、例えばユーザー名やファイル名などを比較する際に、大文字・小文字の違いを許容したい場面で非常に便利に活用できます。

Copy
1<?php
2
3/**
4 * strcasecmp関数を使用して、大文字・小文字を区別しない文字列比較の動作を示します。
5 * この関数はASCII文字の比較には適していますが、UTF-8などのマルチバイト文字の比較には注意が必要です。
6 *
7 * strcasecmpは文字列をバイト列として比較するため、UTF-8文字の大文字・小文字の違いを正しく認識できない場合があります。
8 * UTF-8文字を正しく大文字・小文字を区別せずに比較するには、mb_strcasecmp関数を使用する必要があります。
9 */
10function demonstrateStrCaseCmpUsage(): void
11{
12    echo "--- strcasecmp関数による文字列比較 ---" . PHP_EOL;
13
14    // 1. ASCII文字列の比較（大文字・小文字を無視）
15    // 結果が0の場合、文字列は同じと見なされます。
16    // 大文字・小文字の違いのみであれば、0が返されます。
17    $stringAscii1 = "Hello PHP";
18    $stringAscii2 = "hello php";
19    $resultAscii = strcasecmp($stringAscii1, $stringAscii2);
20    echo "比較: '{$stringAscii1}' と '{$stringAscii2}'" . PHP_EOL;
21    echo "結果: {$resultAscii} (0は同じ、負の数は1つ目が小さい、正の数は1つ目が大きい)" . PHP_EOL; // 出力例: 0
22
23    echo PHP_EOL;
24
25    // 2. 異なるASCII文字列の比較
26    // 辞書順で$stringAscii3が$stringAscii4より小さいと判断されるため、負の数が返されます。
27    $stringAscii3 = "Apple";
28    $stringAscii4 = "Banana";
29    $resultAsciiDiff = strcasecmp($stringAscii3, $stringAscii4);
30    echo "比較: '{$stringAscii3}' と '{$stringAscii4}'" . PHP_EOL;
31    echo "結果: {$resultAsciiDiff}" . PHP_EOL; // 出力例: -1
32
33    echo PHP_EOL;
34
35    // 3. UTF-8マルチバイト文字を含む文字列の比較（strcasecmpの限界を示す）
36    // 'Ä' (C3 84) と 'ä' (C3 A4) はUTF-8では大文字・小文字の違いですが、バイト列が異なります。
37    // strcasecmpはバイト列を比較するため、これらの文字を「異なる」と判断し、0以外の値を返します。
38    // これは、strcasecmpがUTF-8の大文字・小文字のルールを認識しないことを示しています。
39    $stringUtf81 = "Äpfel"; // ドイツ語で「リンゴ」 (大文字のÄ)
40    $stringUtf82 = "äpfel"; // ドイツ語で「リンゴ」 (小文字のä)
41    $resultUtf8 = strcasecmp($stringUtf81, $stringUtf82);
42    echo "比較: '{$stringUtf81}' (UTF-8) と '{$stringUtf82}' (UTF-8)" . PHP_EOL;
43    echo "結果: {$resultUtf8} (strcasecmpはUTF-8の大文字・小文字を正しく扱えません)" . PHP_EOL; // 出力例: 負の数 (0以外)
44
45    // 補足: UTF-8マルチバイト文字を大文字・小文字を区別せずに正しく比較するには、
46    // mb_strcasecmp関数を使用してください。mbstring拡張が必要です。
47    if (extension_loaded('mbstring')) {
48        $resultMbUtf8 = mb_strcasecmp($stringUtf81, $stringUtf82);
49        echo "mb_strcasecmpでの比較: '{$stringUtf81}' と '{$stringUtf82}'" . PHP_EOL;
50        echo "結果 (mb_strcasecmp): {$resultMbUtf8} (UTF-8で正しく比較されました)" . PHP_EOL; // 出力例: 0
51    } else {
52        echo "注意: mbstring拡張がロードされていないため、mb_strcasecmpの比較例はスキップされました。" . PHP_EOL;
53    }
54
55    echo "--------------------------------------" . PHP_EOL;
56}
57
58// 関数を実行して動作を確認します。
59demonstrateStrCaseCmpUsage();

strcasecmp関数は、2つの文字列を大文字・小文字を区別せずに比較し、その結果を整数で返します。引数として比較対象のstring $string1とstring $string2をとり、戻り値はint型です。2つの文字列が大文字・小文字の違いを除いて等しい場合は0を返します。$string1が$string2より辞書順で小さい場合は負の数を、大きい場合は正の数を返します。

この関数は、主にASCII文字の比較に適しています。たとえば、「Hello PHP」と「hello php」のように、大文字・小文字のみが異なるASCII文字列を比較した場合、strcasecmpは0を返し、両者が同じであると判断します。

しかし、strcasecmpは文字列をバイト列として比較するため、UTF-8などのマルチバイト文字の大文字・小文字の区別を正しく認識できないという注意点があります。例えば、ドイツ語の「Äpfel」と「äpfel」はUTF-8では大文字・小文字の違いですが、strcasecmpで比較すると異なる文字列と判断され、0以外の値が返されます。

UTF-8文字を含む文字列を大文字・小文字を区別せずに正しく比較したい場合は、mb_strcasecmp関数を使用する必要があります。mb_strcasecmpは、マルチバイト文字列の文字エンコーディングを考慮して比較を行うため、より正確な結果が得られます。strcasecmpを使用する際は、比較する文字列がASCII文字のみであるか、あるいはマルチバイト文字の扱いについて十分な理解が必要です。

Copy
1<?php
2
3/**
4 * Demonstrates a potential "vulnerability" or pitfall related to `strcasecmp`
5 * in PHP 8.4.12, specifically when used with non-string inputs in security-sensitive
6 * comparisons. This highlights the importance of explicit type validation.
7 *
8 * `strcasecmp` is designed for case-insensitive string comparison. However, PHP's
9 * implicit type juggling (when `declare(strict_types=1)` is not used or strict
10 * types are not enforced for internal functions) can lead to unexpected results.
11 *
12 * The common pitfall shown here is when `strcasecmp` compares an empty string
13 * with `null` or `false`. Both `null` and `false` are coerced to an empty string (`""`)
14 * before comparison, causing `strcasecmp` to return `0` (indicating a match)
15 * even though the original input was not a string. This could lead to a bypass
16 * if an empty string token grants access in a vulnerable system.
17 *
18 * @param string $expectedToken The expected token for comparison. For this demonstration,
19 *                              we use an empty string to illustrate the specific type juggling behavior.
20 */
21function demonstrateStrCaseCmpVulnerability(string $expectedToken = ''): void
22{
23    echo "--- Demonstrating strcasecmp Vulnerability/Pitfall ---\n\n";
24    echo "Context: An authentication system expects a specific token for access.\n";
25    echo "         We'll use an empty string ('{$expectedToken}') as the 'expected' token\n";
26    echo "         to highlight a common type-juggling pitfall in security checks.\n\n";
27
28    // Simulate various user inputs, which could come from $_GET, $_POST, or API payloads.
29    $testInputs = [
30        'correct_string'      => '',          // User provides the correct empty string
31        'non_matching_string' => 'some_token', // User provides a different string
32        'null_input'          => null,        // User provides null (e.g., parameter missing)
33        'false_input'         => false,       // User provides boolean false
34        'integer_zero'        => 0,           // User provides integer 0 (coerces to "0")
35        'array_input'         => [],          // User provides an array (coerces to "Array")
36    ];
37
38    foreach ($testInputs as $label => $userInput) {
39        echo "Testing input type '{$label}':\n";
40        echo "  - User Input Value: " . (is_string($userInput) ? "'{$userInput}'" : var_export($userInput, true)) . "\n";
41        echo "  - User Input Type: " . gettype($userInput) . "\n";
42
43        // --- VULNERABLE APPROACH ---
44        // Direct use of strcasecmp without explicit input type validation.
45        // If $expectedToken is '', and $userInput is null or false, strcasecmp
46        // will coerce them to "" and return 0, leading to an unintended match.
47        $vulnerableMatch = strcasecmp($expectedToken, $userInput) === 0;
48
49        echo "  VULNERABLE CHECK (strcasecmp(\"{$expectedToken}\", \$userInput) === 0):\n";
50        if ($vulnerableMatch) {
51            echo "    -> Result: MATCHED! Access granted (Potentially unintended bypass for {$label}).\n";
52        } else {
53            echo "    -> Result: MISMATCHED. Access denied.\n";
54        }
55
56        // --- SECURE APPROACH ---
57        // Always validate input types for security-sensitive comparisons.
58        // Ensure inputs are strings before using string comparison functions.
59        $secureMatch = false;
60        if (is_string($userInput)) {
61            // For case-insensitive comparison of strings, strcasecmp is suitable.
62            // For password hashes or truly constant-time comparisons, `hash_equals()`
63            // (after converting both to lowercase if case-insensitivity is needed)
64            // is generally preferred. Here, we focus on type safety with strcasecmp.
65            $secureMatch = strcasecmp($expectedToken, $userInput) === 0;
66        }
67
68        echo "  SECURE CHECK (is_string(\$userInput) && strcasecmp(\"{$expectedToken}\", \$userInput) === 0):\n";
69        if ($secureMatch) {
70            echo "    -> Result: MATCHED! Access granted (Input was a string and matched).\n";
71        } else {
72            echo "    -> Result: MISMATCHED. Access denied (Input was not a string or did not match).\n";
73        }
74        echo "\n";
75    }
76
77    echo "--- Conclusion ---\n";
78    echo "Always explicitly validate and, if necessary, cast user input to the expected type ";
79    echo "before using comparison functions like `strcasecmp` in security-critical contexts.\n";
80    echo "This prevents unintended type juggling from leading to security vulnerabilities.\n";
81}
82
83// Execute the demonstration with an empty string as the expected token.
84demonstrateStrCaseCmpVulnerability('');
85
86?>

PHPのstrcasecmp関数は、二つの文字列を大文字・小文字を区別せずに比較し、その結果を整数値で返します。引数$string1と$string2には比較対象の文字列を指定します。両者が等しい場合は0を、$string1が$string2より小さい場合は負の値を、大きい場合は正の値を戻り値として返します。

この関数は本来文字列の比較に用いますが、PHPの柔軟な型変換（型ジャグリング）により、意図しない挙動を示すことがあります。特に、セキュリティに関わる場面での利用には注意が必要です。

サンプルコードでは、strcasecmp関数に空の文字列を期待値として渡し、ユーザーからの入力としてnullやfalseを与えた場合の挙動を検証しています。PHPではnullやfalseが空の文字列（""）に型変換されるため、strcasecmpはこれらを空文字列と比較すると「一致」（0）と判断してしまいます。これは、もし認証トークンとして空文字列を期待しているシステムがあった場合、nullやfalseの入力によって認証が意図せず通過してしまう「脆弱性」や「落とし穴」につながる可能性があります。

このような問題を避けるためには、strcasecmpのような比較関数を使用する前に、is_string()関数などで入力が期待する型（この場合は文字列）であるかを明示的に検証することが非常に重要です。これにより、意図しない型変換によるセキュリティ上のリスクを防ぎ、より安全なコードを作成できます。