PHPでユーザー入力を安全にサニタイズする方法【実践コード例付き】

PHPにおける入力サニタイズとは？

PHPでユーザー入力を扱う際、「サニタイズ（無害化）」は非常に重要な概念です。サニタイズとは、入力データに含まれる不正な文字や危険な文字列をエスケープ・除去する処理のことです。適切なサニタイズを行わないと、SQLインジェクションやXSS（クロスサイトスクリプティング）、コマンドインジェクションといった深刻なセキュリティリスクにさらされる可能性があります。

ここでは、ユーザー入力を安全かつ確実に処理するための代表的なベストプラクティスを、コード例とあわせて紹介します。

1. mysqliの real_escape_string() を使う

MySQLiでデータベースを操作する場合、real_escape_string() メソッドを使用することで、文字列内の特殊文字を適切にエスケープでき、SQLインジェクションの防止につながります。

コード例

<?php
   $conn = new mysqli("localhost", "root", "", "testdb");
   $street = $conn->real_escape_string($_POST['street']);
?>

2. htmlentities() と html_entity_decode() を活用する

データベースへの保存時に htmlentities() でHTML特殊文字をエンティティ化し、ブラウザに表示する際に html_entity_decode() で元に戻す方法も有効です。これにより、悪意あるHTMLタグやJavaScriptコードの埋め込みによるXSS攻撃を防ぐことができます。

コード例

<?php
   $data['message'] = htmlentities($message); // データベース挿入時
   echo html_entity_decode($data['message']); // ブラウザ表示時
?>

3. コマンドラインでは escapeshellarg() を使う

system() や exec() などでシェルコマンドを実行する場合は、escapeshellarg() を使ってユーザー入力を必ずエスケープしましょう。これにより、入力値を通じた意図しないコマンドの実行（コマンドインジェクション）を防ぐことができます。

コード例

<?php system('ls ' . escapeshellarg($data['dir'])); ?>

まとめ

ユーザー入力は決して信用せず、用途に応じて適切なサニタイズ処理を施すことが、安全なWebアプリケーション開発の基本です。特にデータベース操作においては、プリペアドステートメントを併用することで、より堅牢なセキュリティ対策を実現できます。