PHPのFILTER_SANITIZE_SPECIAL_CHARS定数とは？特殊文字をHTMLエスケープする方法

PHPのFILTER_SANITIZE_SPECIAL_CHARSは、特殊文字をHTMLエンティティ形式にエスケープするためのサニタイズフィルター定数です。filter_var()関数と組み合わせて使用することで、「"」「'」「<」「>」「&」といった特殊文字や、ASCII値が32未満の制御文字を安全な形式へ変換できます。

利用可能なフラグ

• FILTER_FLAG_STRIP_LOW − ASCII値が32未満の文字を削除します。

• FILTER_FLAG_STRIP_HIGH − ASCII値が32より大きい文字を削除します。

• FILTER_FLAG_ENCODE_HIGH − ASCII値が32より大きい文字をエンコードします。

戻り値

FILTER_SANITIZE_SPECIAL_CHARSフィルターは、処理後の文字列を返します。入力値に含まれる特殊文字がHTMLエンティティに変換された、新しい文字列が得られます。

使用例

<?php
    $var = "Favorite Sports is Football & Cricket?";
    var_dump(filter_var($var,FILTER_SANITIZE_SPECIAL_CHARS));
?>

出力結果

上記のコードを実行すると、次のような出力が得られます。

string(43) "Favorite Sports is Football & Cricket?"

補足：セキュリティ対策での活用

このフィルターは、掲示板やお問い合わせフォームなど、ユーザー入力をそのままHTMLに出力する場面で、クロスサイトスクリプティング（XSS）対策として活用できます。用途に応じてhtmlspecialchars()関数との使い分けも検討するとよいでしょう。