PHPのFILTER_SANITIZE_MAGIC_QUOTES定数とは？使い方と注意点を解説

FILTER_SANITIZE_MAGIC_QUOTESは、PHPのフィルター定数の一つで、文字列に対してaddslashes()関数と同じ処理を行います。具体的には、シングルクォート（'）、ダブルクォート（"）、バックスラッシュ（\）、NULLといった定義済みの特殊文字の直前にバックスラッシュを自動的に挿入します。

この定数自体は値を持つだけで、単独では何も返しません。実際に利用する際は、filter_var()関数の第2引数として指定するのが一般的な使い方です。

使用例

以下のコードでは、シングルクォートを含む文字列をFILTER_SANITIZE_MAGIC_QUOTESでサニタイズしています。

<?php
    $var = "Here's the string!!";
    var_dump(filter_var($var, FILTER_SANITIZE_MAGIC_QUOTES));
?>

出力結果

上記のコードを実行すると、シングルクォートの前にバックスラッシュが追加された文字列が出力されます。

string(20) "Here\'s the string!!"

注意点：非推奨および削除について

FILTER_SANITIZE_MAGIC_QUOTESは、PHP 7.4で非推奨となり、PHP 8.0以降では削除されました。そのため、最新のPHP環境ではこの定数を使用できません。

現在の開発では、SQLインジェクション対策としてこの種の手動エスケープに頼るのではなく、プリペアドステートメント（PDOやmysqliのパラメータバインディング）を使用することが強く推奨されています。レガシーコードでこの定数を見つけた場合は、より安全な方法への置き換えを検討しましょう。