Webフォームから送信されるデータには、信頼できない値が混入するリスクがあります。PHPで適切にデータ検証を行うことは、セキュリティ向上と正しい処理のために非常に重要です。ここでは基本的な検証方法を順に解説します。

データ検証の必要性

フォームに入力されたデータはユーザーによって自由に変更できるため、想定外の値が送信されることがあります。例えば必須の入力が空だったり、数字のはずが文字列だったりすることも。
このような問題を防ぐため、PHPで受け取ったデータに対して「検証（バリデーション）」を行い、正しい形式・内容かをチェックする必要があります。

検証を行わないと以下のような事例が発生する可能性が高まります。

  • サーバーエラーの原因になる
  • データベースに不正な値が登録される
  • セキュリティ上のリスク（SQLインジェクションなど）が高まる

必須要素の検証

フォームでユーザーに必ず入力してほしい項目がある場合、その入力がされているかを必ずチェックする必要があります。これを「必須項目の検証」と呼びます。必須項目が空のままだと、その後の処理でエラーが発生したり、正しくデータが登録されなかったりする原因になります。

PHPでは、この必須入力の確認に主に empty() 関数や isset() 関数を使います。

if (empty($_POST['username'])) {
    echo "ユーザー名は必須です。";
}

上記のコードは、フォームから送信された username の値が空の場合に「ユーザー名は必須です。」というメッセージを表示しています。

empty() 関数の特徴と注意点

  • 空文字（””）、NULL、数値のゼロ（0）、未定義の変数などに対して「空」と判断します。
  • ユーザーが入力欄を空のまま送信した場合や、そもそも入力欄が送信されなかった場合にも対応できます。
  • 必須チェックでは empty() を使うと簡単で確実に空を判定できます。
  • ※未定義の変数を empty() で参照するとPHPのバージョンやエラーレベルによってはNoticeが出る場合があります。安全に書くには isset() と組み合わせることも検討しましょう。

isset() 関数との違い

  • isset() は変数が存在しているかどうかを調べます。
  • 値が空文字や NULL の場合でも「存在している」と判断するため、必須チェックだけでは少し不十分な場合もあります。

そのため、必須項目の入力チェックでは empty() の利用が基本ですが、ケースによっては isset() との併用も有効です。

まずは必須項目がきちんと入力されているかを確かめることが、フォームのデータ検証の最初のステップです。ここがしっかりしていないと、後の処理で問題が起きやすいので注意しましょう。

文字数で検証

フォームに入力された文字列の長さを確認することも、データ検証で非常に大切なポイントです。文字数の制限を設けることで、あまりにも長すぎる入力や逆に短すぎて意味をなさない入力を防ぐことができます。これにより、データの品質を保ちつつ、システムの負荷軽減や予期せぬ不具合を防ぐ効果もあります。

例えば、ユーザー名に対して「3文字以上20文字以内」というルールを設ける場合、PHPでは以下のように書きます。

$username = $_POST['username'];
if (mb_strlen($username) < 3 || mb_strlen($username) > 20) {
    echo "ユーザー名は3文字以上20文字以内で入力してください。";
}

このコードは、送信されたユーザー名の文字数が3未満または20より多い場合に、エラーメッセージを表示しています。

strlen() と mb_strlen() の違い

  • strlen() 関数は文字列の長さを「バイト数」で返します。
  • 日本語などのマルチバイト文字の場合、意図した文字数と異なる結果になることがあります。例：「あ」は1文字ですが strlen("あ") は3（バイト）となります。
  • 日本語などマルチバイト文字を正確に数えるには mb_strlen() 関数を使うのが安全です。mbstring 拡張が有効になっている必要があります。

文字数の検証は、入力の妥当性を判断するための基本かつ重要なステップです。これを行うことで、システムの安定性を保ちつつ、ユーザーに適切な入力を促すことができます。

数値の検証

フォームで数値を入力してもらう場合、その値が「本当に数字として正しいか」を確認することが大切です。例えば「年齢」や「数量」など、数値でなければ意味をなさない入力項目があります。

PHPでは、is_numeric() 関数を使って数値かどうかを簡単にチェックできます。

$age = $_POST['age'];
if (!is_numeric($age)) {
    echo "年齢は数字で入力してください。";
}

このコードは、ユーザーが入力した age が数字でなければ「年齢は数字で入力してください。」というエラーメッセージを表示します。

is_numeric()関数の特徴

  • is_numeric() は整数や小数点を含む浮動小数点数の文字列も「数字」として認識します。
  • 例えば、「25」「3.14」「-100」などはすべて数値として正しいと判定されます。
  • 逆に、「abc」や「12a」などは数字ではないのでエラーになります。

数値の範囲の検証

単に「数字かどうか」だけでなく、数値の範囲もチェックするとより正確に入力の妥当性を確かめられます。たとえば年齢は「18歳以上99歳以下」といった制限を設けることがあります。

PHPでは、まず数値として扱いやすいように型変換（キャスト）を行い、そのあと範囲を判定します。

$age = (int)$_POST['age'];
if ($age < 18 || $age > 99) {
    echo "年齢は18歳以上99歳以下で入力してください。";
}

このコードは、$age を整数に変換してから、18未満または99より大きい場合にエラーメッセージを表示します。

型変換の理由と注意点

  • フォームから送られてくるデータは基本的に文字列なので、数値として扱うために (int) や (float) を使って型を変換します。
  • 型変換をしないで比較すると意図しない動作になることがあります。
    例：if ('20' < 5) { ... } の場合、文字列比較となって期待と異なる動作をすることがあります。

このように、「数値かどうか」と「数値の範囲」の両方をチェックすることで、より安全で正確なデータ検証が可能になります。これにより、不正な値の入力や処理ミスを防げます。

日付の検証

フォームで日付を入力してもらう際には、入力された日付が正しい形式であり、存在する日付かどうかを確認することが重要です。たとえば、「2024-02-30」のように実際には存在しない日付や、「2024/04/01」のように指定したフォーマットと異なる形式は正しくありません。

PHPでは、DateTime クラスを使うことで日付の形式チェックや妥当性の検証を安全かつ簡単に行うことができます。

$date = $_POST['date'];
$d = DateTime::createFromFormat('Y-m-d', $date);
if (!$d || $d->format('Y-m-d') !== $date) {
    echo "正しい日付を YYYY-MM-DD の形式で入力してください。";
}

このコードの説明

  • DateTime::createFromFormat('Y-m-d', $date) は、指定したフォーマット（ここでは「年-月-日」）に基づいて日付文字列を解析し、DateTime オブジェクトを作成しようとします。
  • 日付の形式が正しくない場合や存在しない日付の場合は、$d は false となります。
  • 作成された日付を format('Y-m-d') で再度文字列化し、元の入力と一致するかを比較することで、入力が正確に指定フォーマットに合っているかを確認しています。

なぜこの検証が必要か

  • 単純に文字列の長さやパターンだけをチェックする方法（正規表現など）では、存在しない日付を見逃すことがあります。
  • 例えば「2024-02-30」や「2023-13-01」といった不正な日付でも、形式的には「YYYY-MM-DD」に見えるためです。
  • DateTime クラスを使うと、こうした不正な日付も正確に検出できるため、より安全です。

正規表現を使った数値の検証

フォームで入力されるデータに対して、より細かく正確なルールを設けたい場合は「正規表現（Regular Expression）」を使ったパターン検証が効果的です。特に電話番号や郵便番号など、決まった形式で入力を制限したいときに役立ちます。

例えば、電話番号の入力欄に数字だけを許可し、10桁または11桁の数字であることをチェックしたい場合、以下のように書きます。

$phone = $_POST['phone'];
if (!preg_match('/^\d{10,11}$/', $phone)) {
    echo "電話番号は10桁か11桁の数字で入力してください。";
}

このコードの意味

  • preg_match() 関数は、指定した正規表現パターンに文字列がマッチするかどうかを調べます。
  • 正規表現 /^\d{10,11}$/ は、「先頭から末尾まで10桁か11桁の数字だけで構成されている」文字列にマッチします。

※この正規表現は日本の固定電話・携帯電話番号のみに対応しています。国際番号や一部特殊な番号には対応していないため、必要に応じてパターンを調整してください。

なぜ正規表現が便利か

  • 文字列の長さや数字かどうかの簡単なチェックよりも細かく、入力のパターンを正確に制限できます。
  • 例えば、ハイフンやスペースを含まない電話番号のみ許可したり、郵便番号の形式（例：123-4567）をチェックしたりすることもできます。
  • 複雑なパターンも正規表現で柔軟に対応可能です。

このように正規表現を使えば、数値やパターンの検証をより詳細にコントロールできます。初心者のうちは少し難しく感じるかもしれませんが、慣れるとフォーム検証でとても役立つ技術です。

HTMLを出力する際のエスケープ処理について

ユーザーがフォームに入力した内容をそのままWebページに表示すると、悪意のあるコード（スクリプト）が混入する可能性があります。これを放置すると、XSS（クロスサイトスクリプティング）攻撃のリスクが高まり、サイト利用者の情報が盗まれたり、不正な操作がされてしまう恐れがあります。

そのため、ユーザーからの入力をHTMLに表示するときは、必ずエスケープ処理を行うことが重要です。PHPではこれを簡単に行うための関数として htmlspecialchars() が用意されています。

$name = htmlspecialchars($_POST['name'], ENT_QUOTES, 'UTF-8');
echo "こんにちは、" . $name . "さん！";

htmlspecialchars() 関数のポイントと補足

  • この関数は、HTMLタグとして解釈される特殊文字を安全な文字列に変換します。
  • 具体的には、<, >, &, ', " などを、それぞれ &lt;, &gt;, &amp;, ', " のように変換します。
  • これにより、ブラウザはこれらをタグやスクリプトとして処理せず、単なる文字として表示します。
  • ENT_QUOTES は、シングルクオート（'）とダブルクオート（"）の両方を変換する指定です。
  • 'UTF-8' は文字コードの指定で、現在のWeb標準でもあるUTF-8を使うことが推奨されます。異なる文字コードを使うと正しく変換されないことがあります。
  • ※htmlspecialchars() は「HTML本文」への出力用です。HTML属性値やJavaScriptなど他の用途で出力する場合は、json_encode() など用途に合った関数を利用してください。

ユーザーが入力したデータの中に悪意のあるJavaScriptコードを混ぜ込むと、他のユーザーがそのページを見る際にスクリプトが実行され、情報漏洩や不正操作の被害につながります。これがXSS攻撃です。エスケープ処理をすれば、こうした攻撃を防ぎ、サイトの安全性を高めることができます。

エスケープ処理はWeb開発で必須のセキュリティ対策なので、必ず実装しましょう。

まとめ

PHPのフォームデータ検証はセキュリティと正確な処理に不可欠です。以下のポイントを押さえましょう。

  • 必須チェック
  • 文字数制限
  • 数値チェック・範囲指定
  • 日付の形式検証
  • 正規表現による細かいパターンチェック
  • HTML出力時のエスケープ処理

これらを組み合わせて使うことで、安全でユーザーに優しいWebフォームを作ることができます。また、実際の運用ではCSRF対策やログの記録など、より高いセキュリティへの配慮も忘れずに行いましょう。