エスケープ

セキュリティ

エスケープとは?

 状態:-  閲覧数:2,893  投稿日:2010-11-02  更新日:2018-04-26  

表記


英語
・escape

サニタイジングするための手段の一つ


プログラム上使用出来ない記号、特殊文字を適切な文字列に置換する
・そのままでは表現できない文字を別の表現に置き換える処理
・スクリプトとして意味を持つ文字を無効化する
・「&」や「>」など特殊文字を一般的な文字列に変換する
・PHPの場合はhtmlspecialchars関数でエスケープ処理
・& → &
・< → &lt;
・> → &gt;
・" → &quot;
・' → &#39;
・文字を削除する処理は含まない

エスケープ処理のタイミング



エスケープ処理のタイミングは入力データのチェック時ではなく、HTMLの生成時(出力時)に行う
こうしておけば、いろんな入力源から入り込んでくるデータを漏れなくエスケープ処理できる

出力する際に気をつけることは?


危険な文字や記号を適宜エスケープ(変換)
A.ブラウザ画面出力  
B.データベース出力
C.シェル出力

1.ブラウザ画面出力

 閲覧数:574 投稿日:2015-11-27 更新日:2015-12-04 

1.ブラウザ画面出力


クロスサイト・スクリプティング対策(HTMLエスケープ)

実施タイミング
・HTML生成時

htmlspecialchars()
str_replace()
strip_tags()

2.データベース出力

 閲覧数:597 投稿日:2015-12-01 更新日:2015-12-08 

2.データベース出力


SQLインジェクション対策
・SQL特殊文字のエスケープ
※関数を利用する場合、エスケ-プするべき文字はデータベースごとに異なっているため、それぞれに対応するエスケープ関数を使う必要がある

addslashes($string)
・PostgreSQL,Oracleなど

mysql_real_escape_string($string)
・MySQL

sqlite_escape_string($string)

・SQLite

プリペアード・ステートメント


register_globals

コメント投稿(ログインが必要)



週間人気ページランキング / 10-21 → 10-27
順位 ページタイトル抜粋 アクセス数
1 PHPで定数を定義する方法は2種類ある / 配列定数の定義 6
2 ブラウザを閉じたらセッションデータはどうなるの? | セッション 5
2 Parse error: syntax error, unexpected 'public' (T_PUBLIC) | Parse error(エラーメッセージ) 5
2 http_build_queryとは? / 構文 /パラメータ 5
3 Cookie | クッキー 4
3 curl で Cookie を使用する 4
4 Fatal error: Access level to ▲::$△ must be protected (as in class ●) or weaker | Fatal error(エラーメッセージ) 3
4 コード例 … 「例外処理」はネストすることができる 3
4 PHP用語 3
4 ブラウザを閉じたらセッションデータはどうなるの? | セッション 3
5 Fatal error: Uncaught RuntimeException: SplFileObject::__construct(): failed to open stream: Permission denied in | Fatal error(エラーメッセージ) 2
5 インポートするデータを受信できませんでした。ファイル名が送信されていないか、ファイルサイズが PHP の設定で許可された最大値を超えています。FAQ 1.16 をご覧ください | エラーメッセージ 2
5 セッション管理が必要な理由は、HTTPプロトコルには状態を保持する機能がないため | セッション 2
5 言語構造 カテゴリー 2
5 Fatal error: Call to undefined method MDB2_Error::execute() in ○○ on line △△ | Fatal error(エラーメッセージ) 2
5 ( ! ) Fatal error: Uncaught PDOException: SQLSTATE[23000]: Integrity constraint violation: 1048 Column 'カラム名' cannot be null | Fatal error(エラーメッセージ) 2
5 Mailer Error: SMTP connect() failed. https://github.com/PHPMailer/PHPMailer/wiki/Troubleshooting | エラーメッセージ 2
5 Fatal error: require_once(): Failed opening required 'PEAR.php' | Fatal error(エラーメッセージ) 2
6 Generators | Generator クラス(定義済みのインターフェイスとクラス) 1
6 PHPにおけるメソッドのオーバーライドについて /「引数の数や型は、親クラスのメソッドと完全に一致していなければなりません。」とは具体的にどういう意味ですか? 1
2025/10/28 1:02 更新