フォーム要素ごとのPHP処理

ラジオボタンとは

ラジオボタンは複数の選択肢から1つだけ選ぶためのフォーム要素です。
性別や年代など、一つだけ選択したい時に使います。

ラジオボタンの例

<form method="POST">
  <label><input type="radio" name="gender" value="male"> 男性</label>
  <label><input type="radio" name="gender" value="female"> 女性</label>
  <button type="submit">送信</button>
</form>

PHPでの受け取りとバリデーション

<?php
// 送信された性別を取得。未送信なら空文字
$gender = $_POST['gender'] ?? '';

// 受け取った値が許可された選択肢かチェック
if (!in_array($gender, ['male', 'female'], true)) {
  echo "性別を選択してください。";
} else {
  // 選択された値をそのまま表示（XSS対策としてエスケープしても良い）
  echo "選択された性別は「" . htmlspecialchars($gender, ENT_QUOTES, 'UTF-8') . "」です。";
}
?>

チェックボックスとは

チェックボックスは複数の選択肢からいくつでも選択できるフォーム要素です。
複数の趣味や興味を選ぶ時などに使います。

チェックボックスの例

複数選択できるように、name 属性に [] をつけて配列で送信します。

<form method="POST">
  <label><input type="checkbox" name="hobbies[]" value="music"> 音楽</label>
  <label><input type="checkbox" name="hobbies[]" value="sports"> スポーツ</label>
  <label><input type="checkbox" name="hobbies[]" value="reading"> 読書</label>
  <button type="submit">送信</button>
</form>

PHPでの受け取りとバリデーション

<?php
// 送信された趣味の配列。未送信なら空配列
$hobbies = $_POST['hobbies'] ?? [];

if (empty($hobbies)) {
  echo "趣味を一つ以上選択してください。";
} else {
  // 各値を安全にエスケープし、文字列に結合して表示
  echo "選択された趣味は：" . implode('、', array_map('htmlspecialchars', $hobbies)) . "です。";
}
?>

セレクトボックスの例

<form method="POST">
  <select name="country">
    <option value="">選択してください</option>
    <option value="jp">日本</option>
    <option value="us">アメリカ</option>
    <option value="fr">フランス</option>
  </select>
  <button type="submit">送信</button>
</form>

• <select>タグのname属性で送信時のキー名を指定します。
• <option>タグのvalue属性が送信される値になります。
• 最初の「選択してください」は空文字 "" を指定し、未選択を表します。

PHPでの値の受け取りと妥当性チェック

<?php
// フォームから送信された値を取得。送信されなければ空文字を代入
$country = $_POST['country'] ?? '';

// 有効な選択肢の配列
$validCountries = ['jp', 'us', 'fr'];

// 送信された値が有効な選択肢かチェック
if (!in_array($country, $validCountries, true)) {
  echo "国を正しく選択してください。";
} else {
  // 選ばれた国の値を表示（XSS対策としてエスケープ推奨）
  echo "選択された国は「" . htmlspecialchars($country, ENT_QUOTES, 'UTF-8') . "」です。";
}
?>

• $_POST['country'] ?? '' で、送信されていなければ空文字を代入しています。
• in_array() で送信値が予め用意した有効な選択肢の中にあるかどうかを確認します。
• 不正な値や未選択の場合はエラーメッセージを表示します。
• 有効な値の場合は、XSS対策として htmlspecialchars() を使い安全に表示します。

ファイルアップロードフォームの作り方

<form method="POST" enctype="multipart/form-data">
  <input type="file" name="upload_file">
  <button type="submit">アップロード</button>
</form>

• <input type="file"> でファイルを選ぶボタンができます。
• enctype="multipart/form-data" はファイルを送るときに必ず必要な指定です。

PHPでファイルを受け取る方法

<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['upload_file'])) {
  $file = $_FILES['upload_file'];

  // ファイルのアップロードでエラーがないか確認
  if ($file['error'] !== UPLOAD_ERR_OK) {
    echo "アップロードに失敗しました。";
    exit;
  }

  // ファイルサイズを5MBまでに制限
  if ($file['size'] > 5 * 1024 * 1024) {
    echo "ファイルが大きすぎます。5MBまでにしてください。";
    exit;
  }

  // 許可するファイルの種類（ここでは画像だけ）
  $allowedTypes = ['image/jpeg', 'image/png', 'image/gif'];
  if (!in_array($file['type'], $allowedTypes, true)) {
    echo "画像ファイル（jpg, png, gif）のみアップロードできます。";
    exit;
  }

  // 安全なファイル名を作る（元の名前は使わない）
  $safeName = uniqid() . '-' . basename($file['name']);

  // ファイルの保存場所（uploadsフォルダ）
  $uploadDir = __DIR__ . '/uploads/';

  // ファイルをサーバーに移動して保存
  if (!move_uploaded_file($file['tmp_name'], $uploadDir . $safeName)) {
    echo "ファイルの保存に失敗しました。";
    exit;
  }

  echo "ファイルをアップロードしました！";
}
?>

ファイルアップロードを安全に使うためのポイント

• アップロードするファイルの種類を決めて、それ以外は受け付けない
  たとえば画像だけにするなど制限しましょう。
• ファイルの名前は元の名前をそのまま使わず、新しい名前を付ける
  変な名前や悪意のある文字を防ぎます。
• ファイルの大きさにも上限をつける
  サーバーの負担が大きくなりすぎないようにします。
• アップロードしたファイルがサーバー上で悪さをしない場所に保存する
  たとえばPHPファイルが勝手に動かないように設定します。

ファイルアップロードは便利ですが、間違えると危険です。このポイントを守って安全に使いましょう。

1. 入力チェック（バリデーション）

• 必須の項目は必ず入力されているか
• 文字数が多すぎたり少なすぎたりしないか
• メールアドレスの形式や電話番号の数字チェックなど、正しい形かどうか

これらをチェックして、ユーザーのミスや悪意のあるデータを事前に防ぎます。

2. エスケープ処理

フォームのデータをそのまま画面に表示すると、悪意のあるコード（例：<script>タグ）が混ざっていると危険です。
そのため、表示するときは htmlspecialchars() などの関数で特別な文字を安全に変換してから表示します。これにより、XSS（クロスサイトスクリプティング）攻撃を防止できます。

3. SQLインジェクション対策

データベースに入力データを保存するとき、悪意あるSQL文を送り込まれる危険があります。
これを防ぐためには、

• プリペアドステートメント（準備された文）を使う
• もしくはエスケープ関数で特殊文字を無害化する

ことが必須です。

4. CSRF対策（クロスサイトリクエストフォージェリ）

他の悪意あるサイトから、知らないうちにあなたのフォームを勝手に送信される攻撃があります。
これを防ぐために、

• フォームに「トークン」と呼ばれるランダムな文字列を入れて送信する
• 受け取った側でトークンが正しいか必ず確認する

という方法を使います。

5. ファイルアップロードの安全管理

ファイルをアップロードさせる場合は、前の説明のように、

• ファイルの種類やサイズをチェックする
• ファイル名を安全な名前に変える
• アップロード先を安全な場所にする

ことが重要です。