ファイル・入出力

PHPのエスケープ処理の基本とセキュリティ対策について解説

2025-04-15更新日: 2025-04-15

PHPのエスケープ処理は、ユーザーからの入力や外部データを安全に出力するための基本技術です。

HTMLやSQL、JavaScriptなど各出力先に応じて特殊文字を適切に変換することで、クロスサイトスクリプティングやSQLインジェクションといった攻撃リスクを低減します。

この記事では、具体的なエスケープ手法と注意点をご紹介します。

目次から探す

PHPエスケープ処理の基本
- エスケープの概念と役割
- PHPで扱う文字列とエスケープ対象の種類
HTML出力時のエスケープ
- htmlspecialchars関数の使い方
- 他のHTMLエスケープ方法との比較
SQL対策としてのエスケープ
- mysqli_real_escape_stringの利用方法
- PDOとパラメータバインディングの連携
JavaScriptおよびURLパラメータ向けエスケープ
- JavaScript内でのエスケープ手法
- URLエンコードの基本
まとめ

PHPエスケープ処理の基本

エスケープの概念と役割

エスケープ処理とは、特殊な意味を持つ文字を安全に出力できる形に変換する処理です。

たとえば、HTML出力時にユーザー入力の特殊文字がそのまま表示されると、予期しない動作やセキュリティ上の問題が発生する可能性があります。

エスケープ処理を行うことで、これらの問題を回避し、意図しないコード実行を防止する役割を果たします。

PHPで扱う文字列とエスケープ対象の種類

PHPでは、文字列に対してさまざまなエスケープ処理を適用する必要があります。

主な対象は以下の通りです。

HTML出力時の特殊文字(例：<、>、&、"、')
SQLクエリに含める文字列(例：シングルクオートやバックスラッシュ)
JavaScriptに埋め込む際の特殊文字

これらのエスケープ処理は、出力先や用途に応じて適切な方法を選択することが重要です。

HTML出力時のエスケープ

htmlspecialchars関数の使い方

PHPでHTML出力時にエスケープを行う代表的な関数として、htmlspecialcharsがあります。

この関数は指定した文字を対応するHTMLエンティティに変換し、安全に出力するために利用されます。

たとえば、ユーザーが入力したテキストをそのまま表示する場合に、意図しないHTMLタグの解釈を防ぐ作用があります。

以下は、htmlspecialcharsを使用した基本的なサンプルコードです。

<?php
// ユーザー入力例
$userInput = "<script>alert('攻撃');</script>";
// htmlspecialcharsでエスケープ
$safeOutput = htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8');
// 結果を表示
echo $safeOutput;  // 出力: <script>alert(&#039;攻撃&#039;);</script>
?>

<script>alert(&#039;攻撃&#039;);</script>

ENT_QUOTESオプションの効果

ENT_QUOTESオプションを指定すると、ダブルクオート(“)およびシングルクオート(‘)の両方をエスケープします。

これにより、HTML属性値内にユーザー入力をそのまま埋め込む場合でも、安全に扱うことが可能です。

たとえば、ユーザー入力が属性値として使われるときにクオートが原因でHTML構造が崩れるのを防ぎます。

文字エンティティへの変換の流れ

htmlspecialcharsは、まず変換前の文字列を受け取り、設定されたエンコードに基づいて各文字に対応するHTMLエンティティへと変換します。

たとえば、<は<に、>は>に変換されます。

これにより、ブラウザがその文字をHTMLタグと解釈せず、テキストとして表示できるようになります。

他のHTMLエスケープ方法との比較

htmlspecialchars以外にも、htmlentitiesという関数があります。

htmlspecialcharsは必要最低限の文字(<, >, &, “, ‘)を変換するため、軽量で高速です。
htmlentitiesは、対象となるすべての文字(例えば、日本語以外の特殊文字も含む)を変換するため、より広範なエスケープが可能ですが、処理に時間がかかる場合があります。

用途に合わせて、どちらの関数を用いるか判断するとよいでしょう。

SQL対策としてのエスケープ

mysqli_real_escape_stringの利用方法

SQLインジェクション対策として、SQLクエリにユーザー入力を組み込む際にエスケープ処理を行う必要があります。

mysqli_real_escape_stringは、特殊文字をエスケープし、SQL文を安全に構築するために利用されます。

基本的な使用例

以下のサンプルコードでは、mysqli_real_escape_stringを用いてユーザー入力をエスケープした上で、SQL文を作成する例を示しています。

<?php
// MySQL接続情報(例)
$host = "localhost";
$user = "dbUser";
$password = "dbPass";
$dbname = "testDB";
// MySQLi接続を作成
$mysqli = new mysqli($host, $user, $password, $dbname);
// ユーザー入力例(SQLインジェクション対策が必要な値)
$userInput = "example' OR '1'='1";
// エスケープ処理
$safeInput = $mysqli->real_escape_string($userInput);
// エスケープ済みの値を利用してSQLクエリを生成
$query = "SELECT * FROM users WHERE username = '$safeInput'";
$result = $mysqli->query($query);
// 結果の処理
while ($row = $result->fetch_assoc()) {
    echo $row['username'] . "\n";
}
$mysqli->close();
?>

example\' OR \'1\'=\'1

注意点と落とし穴

mysqli_real_escape_stringは、接続時の文字エンコーディングと連動するため、接続設定と実際のエンコーディングが一致しないと正しく動作しない可能性があります。

また、エスケープ処理は手動で行うため、パラメータバインディングを利用した方法と比較して人的ミスが入りやすい点に注意が必要です。

PDOとパラメータバインディングの連携

PDOでは、パラメータバインディングを利用してSQL文にユーザー入力を組み込むことができます。

パラメータバインディングは、事前に値をプレースホルダにバインドすることで自動的にエスケープ処理を行い、SQLインジェクション対策を強化します。

サンプルコードは以下の通りです。

<?php
// PDO接続情報(例)
$dsn = "mysql:host=localhost;dbname=testDB;charset=utf8";
$username = "dbUser";
$password = "dbPass";
// PDOオブジェクト生成
$pdo = new PDO($dsn, $username, $password);
// ユーザー入力例
$userInput = "example' OR '1'='1";
// SQLクエリでプレースホルダを利用
$sql = "SELECT * FROM users WHERE username = :username";
$stmt = $pdo->prepare($sql);
// パラメータをバインドしてSQL実行
$stmt->bindParam(':username', $userInput, PDO::PARAM_STR);
$stmt->execute();
// 結果の処理
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
    echo $row['username'] . "\n";
}
?>

example' OR '1'='1

JavaScriptおよびURLパラメータ向けエスケープ

JavaScript内でのエスケープ手法

JavaScriptにPHPから値を埋め込む場合、適切なエスケープを行うことが重要です。

直接出力すると、改行コードやクオート文字が原因でJavaScriptの構文エラーが発生する恐れがあります。

PHPでは、json_encodeを利用して安全に値を出力する方法が推奨されます。

値埋め込み時のポイント

json_encodeは、文字列をJSON形式に変換するため、特殊文字を自動的にエスケープしてくれます。

以下のサンプルコードは、PHPからJavaScript内に安全に文字列を埋め込む例です。

<?php
// ユーザー入力例
$userInput = "こんにちは \"世界\"";
// json_encodeを利用してエスケープ
$jsSafeString = json_encode($userInput);
?>
<script>
// PHPから埋め込んだ安全な文字列を利用
var userMessage = <?php echo $jsSafeString; ?>;
console.log(userMessage); // 出力: こんにちは "世界"
</script>

こんにちは "世界"

URLエンコードの基本

URLパラメータとしてデータを扱う場合、特殊文字をエンコードして安全にURL内に組み込む必要があります。

PHPにはurlencodeおよびrawurlencodeという関数があり、用途に応じて使い分けることが推奨されます。

基本的なエンコード例は下記の通りです。

<?php
// ユーザー入力例
$userInput = "パラメーター=値&他のパラメーター";
// urlencodeを用いたエンコード
$encodedUrl = urlencode($userInput);
echo $encodedUrl;  // 出力例: %E3%83%91%E3%83%A9%E3%83%A1%E3%83%BC%E3%82%BF%E3%83%BC%3D%E5%80%A4%26%E4%BB%96%E3%81%AE%E3%83%91%E3%83%A9%E3%83%A1%E3%83%BC%E3%82%BF%E3%83%BC
?>

%E3%83%91%E3%83%A9%E3%83%A1%E3%83%BC%E3%82%BF%E3%83%BC%3D%E5%80%A4%26%E4%BB%96%E3%81%AE%E3%83%91%E3%83%A9%E3%83%A1%E3%83%BC%E3%82%BF%E3%83%BC

rawurlencodeとの使い分け

rawurlencodeは、RFC 3986に準拠したエンコードを行います。

こちらは主にURLパス部分のエンコードに使われ、スペースは%20としてエンコードされます。

一方、urlencodeはスペースを「+」に変換するため、クエリパラメータとして用いる場合に適しています。

用途に応じた使い分けがポイントです。

まとめ

この記事では、PHPのエスケープ処理の基本と、HTML、SQL、JavaScriptおよびURLパラメータへの具体的な対策方法を学びましたでした。

各種エスケープ手法とその注意点を把握することで、セキュリティリスクを低減する重要性が理解できる内容となっています。

ぜひ本記事の知識を実践に活かして、より安全なアプリケーション開発に挑戦してみてください。