この記事では、PHPで入力データを安全に扱うための「データ検証（バリデーション）」と「サニタイズ（無害化）」の基礎を学びます。初心者の方でも理解できるよう、基本概念から実践的なコード例までを解説します。

  • データ検証が必要な理由
  • バリデーションとサニタイズの違い
  • PHPでの基本的な実装方法
  • よくあるセキュリティ攻撃（XSS・SQLインジェクション）への対策

PHPのデータ検証とは？なぜセキュリティに不可欠なのでしょうか？

PHPでWebアプリケーション（ホームページやWebサービス）を開発する際、「データ検証」は避けて通れない、非常に重要なプロセスです。

データ検証とは、ひとことで言えば「ユーザーから送られてきた入力データが、安全で正しいものかチェックすること」です。

例えば、お問い合せフォーム、会員登録、ログイン、コメント投稿など、ユーザーが何かを入力する機能はすべて対象となります。

なぜデータ検証が不可欠なのか？

もし、ユーザーからの入力を何のチェックもせずにそのまま利用してしまうと、以下のような深刻な問題が発生する可能性があります。

  • システムの誤動作・エラー: 本来「数値」が入るべき年齢欄に「あいうえお」と入力されたら、計算処理ができずエラーになってしまいます。
  • データの不整合: 必須であるはずの「メールアドレス」が空のままデータベースに登録されると、後で連絡が取れなくなってしまいます。
  • セキュリティの脆弱性（ぜいじゃくせい）: 悪意のあるユーザーが、入力フォームに「プログラムのコード（スクリプト）」や「データベースを操作する命令（SQL文）」を仕込むことがあります。

これをチェックせず受け入れてしまうと、XSS（クロスサイトスクリプティング）によって他人のクッキー（ログイン情報など）が盗まれたり、SQLインジェクションによってデータベース内の情報が盗まれたり、改ざん・削除される危険があります。

PHPを使ったWeb開発において、データ検証は「期待通りの動作をさせるため」だけでなく、「悪意のある攻撃からシステムとユーザー情報を守る」ために不可欠なセキュリティ対策なのです。

具体的な攻撃例

例えば、以下のようなコードをチェックせずに実行すると危険です。

// ユーザー入力をそのまま出力（危険）
// ⚠️ このコードは、ユーザーからの入力（ここではURLのクエリパラメータ`name`）を
// 適切に**サニタイズ（無害化）**することなく、そのままHTMLとしてブラウザに出力しています。
// この行為は**クロスサイト・スクリプティング (XSS)** の脆弱性を生み出す原因となります。
echo $_GET['name'];

// 悪意ある入力例 //
// ユーザーがブラウザに「?name=<script>alert('XSS');</script>」というURLでアクセスすると、
// 上記の`echo`によって`<script>alert('XSS');</script>`がHTMLとしてページに埋め込まれ、
// 攻撃者のスクリプトが閲覧者のブラウザで実行されてしまいます。
?name=<script>alert('XSS');</script>

この場合、ブラウザ上でJavaScriptが実行され、サイトの訪問者のCookie情報などが盗まれる恐れがあります。

バリデーションとサニタイズの違い：それぞれの役割を理解しましょう

データ検証には、「バリデーション（Validation）」と「サニタイズ（Sanitization）」という2つの異なる役割があります。この違いを理解することがセキュリティ対策の第一歩です。

バリデーション（Validation）：入力データの「検証」

入力されたデータが、あらかじめ決められたルール（形式や条件）に合っているかチェックします。

  • 必須項目が空になっていないか？
  • メールアドレスが正しい形式か？
  • パスワードが指定した文字数以上か？
  • 年齢欄に「数値」が入力されているか？
  • 郵便番号が「XXX-XXXX」の形式になっているか？

不正データは「拒否」し、ユーザーにエラーを返します。

サニタイズ（Sanitization）：入力データの「無害化」

入力データに含まれる危険なコードを除去または変換し、安全に処理します。

例：<script>タグを含むコメントを &lt;script&gt; に変換し、ブラウザで実行されないようにします。

  • バリデーション：不正データを「拒否」
  • サニタイズ：危険な部分を「無害化」して受け入れる
項目バリデーションサニタイズ
目的入力データの妥当性を確認危険なデータを無害化
処理のタイミングデータを受け取った直後データを表示または保存する直前
例メール形式のチェック、必須入力チェックなどhtmlspecialchars()、strip_tags()、filter_var()

PHPで実装する基本的なバリデーション

1. 必須項目のチェック

empty()は変数が「空」であるかを調べる関数です。空とは、未定義・null・空文字・0・空配列などが該当します。

// POST送信された 'username' をチェック
if (empty($_POST['username'])) {
  echo "お名前は必須項目です。";
}

2. 文字数のチェック

パスワードの長さをチェックする処理。mb_strlen()はマルチバイト対応の文字数カウント関数（日本語なども正確に数えられる）

$password = $_POST['password'];
$minLength = 8;
if (mb_strlen($password) < $minLength) {
  echo "パスワードは{$minLength}文字以上で入力してください。";
}

3. 数値のチェック

年齢の入力値を整数としてチェックする処理。
filter_var()は値の検証・フィルタリングを行う関数。
FILTER_VALIDATE_INTは「整数かどうか」を判定するフィルタです。

$age = $_POST['age'];
if (filter_var($age, FILTER_VALIDATE_INT) === false) {
  echo "年齢は半角数字（整数）で入力してください。";
}

4. メールアドレス形式のチェック

filter_var() は値を検証する関数で、FILTER_VALIDATE_EMAIL は「正しいメール形式かどうか」を判定します。

$email = $_POST['email'];
if (filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
  echo "メールアドレスの形式が正しくありません。";
}

正規表現を使った書式の検証

郵便番号のチェック

preg_match() は正規表現でパターンにマッチするかを調べる関数。 /^\d{3}-\d{4}$/ は「数字3桁-数字4桁」（例：123-4567）という形式を表します。

$zipcode = $_POST['zipcode'];
$pattern = '/^\d{3}-\d{4}$/';
if (preg_match($pattern, $zipcode) === 0) {
  echo "郵便番号は「123-4567」の形式で入力してください。";
}

電話番号（携帯）のチェック

^(090|080|070)-\d{4}-\d{4}$ は「090・080・070」から始まり、4桁-4桁の数字という形式を表します。

$tel = $_POST['tel'];
$pattern = '/^(090|080|070)-\d{4}-\d{4}$/';
if (preg_match($pattern, $tel) === 0) {
  echo "携帯電話番号の形式が正しくありません。（例: 090-1234-5678）";
}

XSS対策の基本：サニタイズの具体的方法

よく使うサニタイズ関数

  • htmlspecialchars()：HTMLタグをエスケープして出力
  • strip_tags()：HTMLタグを完全に削除
  • filter_var()：型やフォーマットを指定して安全に変換
  • intval() / floatval()：数値に変換して安全に扱う

htmlspecialchars() の使い方

htmlspecialchars() はHTMLの特殊文字を無効化して安全に出力する関数。
ENT_QUOTES は「シングルクォート・ダブルクォートの両方を変換」する設定。
'UTF-8' は文字エンコードを指定（日本語環境では必須）。
この処理により、<script>などのタグが実行されず、文字として表示されます。

$comment = "<b>太字</b><script>alert('危険');</script>";
echo htmlspecialchars($comment, ENT_QUOTES, 'UTF-8');

良い例と悪い例

// 悪い例：入力時に htmlspecialchars() を使ってしまうと、
// データベース保存時などに二重エスケープが発生する恐れがあります。
$company_name = htmlspecialchars($_POST['company'], ENT_QUOTES, 'UTF-8');
// 良い例：入力データはそのまま保持し、出力時に htmlspecialchars() を使うことで安全に表示します。
$company_name = $_POST['company'];
echo htmlspecialchars($company_name, ENT_QUOTES, 'UTF-8');

実践：PHPフォームにおけるデータ検証の基本的な流れ

<?php
  $errors = [];
  $name = '';
  $email = '';
  if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $name = $_POST['name'];
    $email = $_POST['email'];
    if (empty($name)) {
      $errors['name'] = 'お名前は必須です。';
    }
    if (empty($email)) {
      $errors['email'] = 'メールアドレスは必須です。';
    } elseif (filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
      $errors['email'] = 'メールアドレスの形式が正しくありません。';
    }
    if (empty($errors)) {
      header('Location: thanks.php');
      exit;
    }
  }
?>
<form action="" method="POST">
  <label>お名前:</label>
  <input type="text" name="name" value="<?php echo htmlspecialchars($name, ENT_QUOTES, 'UTF-8'); ?>">
  <?php if (isset($errors['name'])) echo htmlspecialchars($errors['name'], ENT_QUOTES, 'UTF-8'); ?>

  <label>メールアドレス:</label>
  <input type="text" name="email" value="<?php echo htmlspecialchars($email, ENT_QUOTES, 'UTF-8'); ?>">
  <?php if (isset($errors['email'])) echo htmlspecialchars($errors['email'], ENT_QUOTES, 'UTF-8'); ?>

  <button type="submit">送信</button>
</form>

安全なフォーム処理のためのポイント

  • 入力値を使用する直前に必ずサニタイズする
  • データベースへ保存する場合はプリペアドステートメントを使う（SQLインジェクション対策）
  • エラーメッセージはユーザーに優しく、かつシステムの内部情報を漏らさない
  • CSRF（クロスサイトリクエストフォージェリ）対策としてトークン認証を導入する

まとめ：安全なPHP開発の第一歩はデータ検証から

データ検証とサニタイズは、PHPによる安全なWeb開発の基本中の基本です。入力データを正しく扱うことで、バグやエラーを防ぐだけでなく、ユーザー情報を守る強固なシステムを構築できます。

今回紹介したサンプルコードをベースに、実際のフォームやアプリケーションに合わせてルールを追加していくことをおすすめします。