サニタイズについて教えて下さい。

質問

PHPで問い合わせフォームを作成しましたが、サニタイズされているかがわかりません。

以下は、submit後のphpファイルですが、サニタイズされていなければ、どこにどのようなコードを記述すれば良いのでしょうか？

また、サニタイズはhtmlsprcialcharsの他になにかあるのでしょうか？

function myEcho($errorBool, $value) {
if($errorBool) {
echo'<FONT COLOR="#cc3333">',$value,'</FONT><br/>';;
}
else
{
echo $value;
}
}
// list用？
function myListEcho($errorBool, $value) {
if($errorBool) {
echo'お問い合せ内容をお選びください<FONT COLOR="#cc3333">&nbsp;※必ず入力してください。</FONT>';;
}
else
{
echo $value;
}
}

// 名前のチェック
$name=$_POST['name'];
$nameError = false;
if($name=='')
{
$nameError = true;
$name = '※必ず入力してください。';;
}

// E-mailのチェック
$mail=$_POST['mail'];
$mailError = false;
$mail2=$_POST['mail2'];
$mail2Error = false;
if (!preg_match(
'/^[a-z0-9][a-z0-9_\.\-]*@[a-z0-9][a-z0-9_\.\-]+[a-z]$/i',
$mail)) {
$mailError = true;
$mail='※正しいメールアドレスを指定してください。';
}elseif($mail!==$mail2) {
$mailError = true;
$mail='※確認用メールアドレスと一致していません。';
}

// 確認用チェック
if($mail2=='')
{
$mail2Error = true;
$mail2='※必ず入力してください。';
}

// お問い合わせ内容確認？
$list=$_POST['list'];
$listError = false;
if($list=='お問い合せ内容をお選びください')
{
$listError = true;
}

// 内容
$content=$_POST['content'];
$contentError = false;
if($content=='')
{
$contentError = true;
$content='※必ず入力してください。';;
}
?>

<?php
if($nameError || $mailError || $mail2Error || $listError || $contentError)
{
echo'<p align="center"><FONT COLOR="#cc3333">入力内容に誤りがあります。※印の項目は必ずご記入ください。</FONT></p>';;
}
else{
echo'<p class="text4">以下の内容で送信しますか？</p>';;
}
?>

<table class="table margin01" width="592" border="0" cellpadding="0" cellspacing="0">
<tr>
<td width="190" align="left" bgcolor="#FFF09D">お名前<span class="tabletext1"></span></td>
<td>
<?php
myEcho($nameError,$name);;
?>
</td>
</tr>

<tr>
<td align="left" bgcolor="#FFF09D">メールアドレス<span class="tabletext1"></span></td>
<td>
<?php
myEcho($mailError,$mail);;
?>
</td>
</tr>

<tr>
<td align="left" bgcolor="#FFF09D">メールアドレス（確認）<span class="tabletext1"></span></td>
<td>
<?php
myEcho($mail2Error,$mail2);;
?>
</td>
</tr>

<tr>
<td align="left" bgcolor="#FFF09D">お問い合せ内容<span class="tabletext1"></span></td>
<td>
<?php
myListEcho($listError,$list);;
?>
</td>
</tr>

<tr>
<td align="left" bgcolor="#FFF09D">内容<span class="tabletext1"></span></td>
<td>
<?php
myEcho($contentError,$content);;
?>
</td>
</tr>

</table>

<?php
if($nameError || $mailError || $mail2Error || $listError || $contentError)
{
echo'<form>';
echo'<p align="center" class="margin01"><input type="button" value="戻る" onclick="history.back()"</p>';
echo'</form>';
}
else
{
echo'<form method="post"action="thanks.php">';
echo'<input type="hidden" name="name" value="'.$name.'">';
echo'<input type="hidden" name="mail" value="'.$mail.'">';
echo'<input type="hidden" name="mail2" value="'.$mail2.'">';
echo'<input type="hidden" name="list" value="'.$list.'">';
echo'<input type="hidden" name="content" value="'.$content.'">';
echo'<p align="center" class="margin01"><input type="button"onclick="history.back()"value="戻る">';
echo'<input type="submit"value="ＯＫ"></p>';
echo'</form>';
}
?>

回答No.2

yuu_x · ベストアンサー

<?php
function in_array_denial( $ary, $n ) {
foreach ( $ary as $a ) if ( $a !== $n ) return false;
return true;
}

define( 'FE_EMPTY', 1 );
define( 'FEDESAGREEMENT', 2 );

$e = array(
'name' => 0
,'mail' => 0
,'mail2' => 0
,'list' => 0
,'content' => 0
);

// 名前のチェック
if( $_POST['name'] === '' ) $e['name'] = FE_EMPTY; // 空文字と比較する場合は === を用いる

// E-mailのチェック
if ( !preg_match('/^[a-z0-9][a-z0-9_\.\-]*@[a-z0-9][a-z0-9_\.\-]+[a-z]$/i', $_POST['mail']) ) $e['mail'] = FE_DESAGREEMENT;

// 確認用チェック
if( $_POST['mail2'] === '' ) $e['mail2'] = FE_EMPTY;
elseif( $_POST['mail'] !== $_POST['mail2'] ) $e['mail2'] = FE_DESAGREEMENT;

// お問い合わせ内容確認？
if($list=='お問い合せ内容をお選びください') $e['list'] = true;

// 内容
if($content=='') $e['content'] = FE_EMPTY;
?>

<?php if( in_array_denial( $e, 0 ) ) : ?>
<p align="center"><font color="#cc3333">入力内容に誤りがあります。※印の項目は必ずご記入ください。</font></p>
<?php else : ?>
<p class="text4">以下の内容で送信しますか？</p>
<?php endif; ?>

<table class="table margin01" width="592" border="0" cellpadding="0" cellspacing="0">
<tr>
<td width="190" align="left" bgcolor="#FFF09D">お名前<span class="tabletext1"></span></td>
<td>
<?php if( $e['name'] === FE_EMPTY ) :?>
<font color="#cc3333">必ず入力してください</font><br/>
<?php else : ?>
<?=htmlentities($_POST['name'], ENT_COMPAT|ENT_XHTML, UTF-8 )?><!--値を埋め込む場合は必ずサニタイズを行う-->
<?php endif;?>
</td>
</tr>

・・・
<?php if( in_array_denial( $e, 0 ) ) : ?>
<p align="center" class="margin01"><a href="..." value="戻る" onclick="history.back()"></a></p>';
<?php else : ?>
<form method="post"action="thanks.php">';
<input type="hidden" name="name" value="<?=htmlentities($_POST['name'], ENT_COMPAT|ENT_XHTML, UTF-8 )?>">
<input type="hidden" name="mail" value="<?=htmlentities($_POST['mail'], ENT_COMPAT|ENT_XHTML, UTF-8 )?>">
<input type="hidden" name="mail2" value="<?=htmlentities($_POST['mail2'], ENT_COMPAT|ENT_XHTML, UTF-8 )?>">
<input type="hidden" name="list" value="<?=htmlentities($_POST['list'], ENT_COMPAT|ENT_XHTML, UTF-8 )?>">
<input type="hidden" name="content" value="<?=htmlentities($_POST['content'], ENT_COMPAT|ENT_XHTML, UTF-8 )?>">
<p align="center" class="margin01"><a href="..." onclick="history.back()"value="戻る">
<input type="submit"value="ＯＫ"></p>
</form>
<?php endif; ?>

お礼

ありがとうございます！！

回答No.1

shimix

「どういう処理をするのか」によります。

ブラウザに（htmlソースとして）返すのであれば必ずhtmlspecialchars()を通してください。

http://php.net/manual/ja/function.htmlspecialchars.php

第二引数はENT_QUOTES、第三引数で文字エンコードもキチンと指定します。

お礼

ありがとうございます！！

試してみます！！