PHPセキュリティの基本対策について解説

<?php
// ユーザーから取得したメールアドレス
$email = $_POST['email'];
// PHP組み込みフィルターでメールアドレスを検証
if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo "有効なメールアドレスです。";
} else {
    echo "無効なメールアドレスです。";
}
?>

有効なメールアドレスです。

<?php
// ユーザー入力(例：年齢)
$input = $_GET['age'];
// 正規表現で数字のみかをチェック：^\d+$ は先頭から末尾まで数字のみ
if (preg_match('/^\d+$/', $input)) {
    echo "正しい形式の数値です。";
} else {
    echo "入力は数値のみで構成してください。";
}
?>

正しい形式の数値です。

<?php
// データベース接続設定
$dsn = 'mysql:host=localhost;dbname=testdb;charset=utf8';
$username = 'dbuser';
$password = 'dbpass';
try {
    $pdo = new PDO($dsn, $username, $password);
    // エラーモードを例外に設定
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    // プリペアドステートメントを作成
    $stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id");
    // ユーザー入力(例：GETパラメータ)をバインドする
    $stmt->bindParam(':id', $_GET['user_id'], PDO::PARAM_INT);
    // クエリを実行
    $stmt->execute();
    // 結果を取得する
    $result = $stmt->fetch(PDO::FETCH_ASSOC);
    echo "ユーザー情報を取得しました。";
} catch (PDOException $e) {
    echo "データベースエラーが発生しました。";
}
?>

ユーザー情報を取得しました。

<?php
// ユーザーからの入力データ(例: コメント)
$comment = $_POST['comment'];
// htmlspecialcharsでエスケープ処理
$safeComment = htmlspecialchars($comment, ENT_QUOTES, 'UTF-8');
// 出力
echo "<p>{$safeComment}</p>";
?>

<p><script>alert(&#039;XSS&#039;)</script></p>

<?php
// セッション開始
session_start();
// ユーザー認証後にセッションIDを再生成
if ($userAuthenticated) {
    session_regenerate_id(true); // 古いセッションを削除
    $_SESSION['user'] = $userData; // ユーザー情報を保存
    echo "セッションIDが再生成されました。";
}
?>

セッションIDが再生成されました。

<?php
// Cookie設定例(Cookie名: session_token)
setcookie('session_token', 'exampletoken', [
    'expires' => time() + 3600, // 1時間後に有効期限切れ
    'path' => '/',
    'secure' => true, // HTTPS限定で送信
    'httponly' => true, // JavaScriptからのアクセスを不可にする
    'samesite' => 'Strict'
]);
echo "Cookieの属性が安全に設定されました。";
?>

Cookieの属性が安全に設定されました。

<?php
// アップロードされたファイル情報
$fileName = $_FILES['upload']['name'];
$fileType = $_FILES['upload']['type'];
$fileTmpName = $_FILES['upload']['tmp_name'];
// 許可する拡張子とMIMEタイプのリスト
$allowedExtensions = ['jpg', 'jpeg', 'png', 'gif'];
$allowedMimeTypes = ['image/jpeg', 'image/png', 'image/gif'];
// ファイルの拡張子を取得
$extension = strtolower(pathinfo($fileName, PATHINFO_EXTENSION));
// MIMEタイプのチェック
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mimeType = finfo_file($finfo, $fileTmpName);
finfo_close($finfo);
if (!in_array($extension, $allowedExtensions) || !in_array($mimeType, $allowedMimeTypes)) {
    echo "不正なファイル形式です。";
    exit;
}
echo "ファイルの検証が完了しました。";
?>

ファイルの検証が完了しました。

<?php
// アップロード先ディレクトリ(書き込み権限があり、外部から実行できない場所)
$uploadDir = '/var/www/uploads/';
// ファイル名の衝突を避けるために一意の名前を生成
$newFileName = uniqid('upload_', true) . '.' . $extension;
$destination = $uploadDir . $newFileName;
if (move_uploaded_file($fileTmpName, $destination)) {
    echo "ファイルは安全な場所に保存されました。";
} else {
    echo "ファイル保存に失敗しました。";
}
?>

ファイルは安全な場所に保存されました。

<?php
// ユーザーが入力したパスワード
$password = $_POST['password'];
// password_hashでパスワードをハッシュ化(デフォルトのアルゴリズムを使用)
$hashedPassword = password_hash($password, PASSWORD_DEFAULT);
echo "パスワードは安全にハッシュ化されました。";
// ハッシュ化されたパスワードはデータベースに保存する
?>

パスワードは安全にハッシュ化されました。

<?php
// 暗号化するデータ
$data = "機密情報";
// 暗号化方式と鍵、初期化ベクトル(IV)の設定
$cipher = "AES-128-CBC";
$key = "SecretKey123456"; // 16バイトのキー
$iv = substr(hash('sha256', 'InitializationVector'), 0, 16);
// データの暗号化
$encryptedData = openssl_encrypt($data, $cipher, $key, 0, $iv);
echo "暗号化されたデータ: " . $encryptedData;
?>

暗号化されたデータ: U2FsdGVkX1+...

<?php
// 例外をキャッチして簡易なエラーメッセージを出力
try {
    // 何らかの処理
} catch (Exception $ex) {
    echo "エラーが発生しました。再度お試しください。";
    // 詳細情報はログに記録する
}
?>

エラーが発生しました。再度お試しください。

<?php
// ログメッセージの作成
$logMessage = "不正アクセスの試行が検出されました。";
// 暗号化のための設定
$cipher = "AES-128-CBC";
$key = "LogEncryptionKey1"; // 暗号化キー
$iv = substr(hash('sha256', 'LogIV'), 0, 16);
// ログメッセージの暗号化
$encryptedLog = openssl_encrypt($logMessage, $cipher, $key, 0, $iv);
// 暗号化したログをファイルに保存
file_put_contents('secure_log.txt', $encryptedLog . PHP_EOL, FILE_APPEND);
echo "ログ情報が安全に保存されました。";
?>

ログ情報が安全に保存されました。