![](http://oshiete.xgoo.jp/images/v2/pc/qa/question_title.png?5a7ff87)
初歩的な事で申し訳ありませんがご教授下さい。
フォームから受け取った文字列をデータベースに格納し、必要に応じて出力するような処理でのHTMLエスケープについて質問です。
(前提条件として、HTMLタグは使用をさせない。フォームに入力する文字列には、< や >を使う必要性はほとんどないものとします)
HTMLエスケープ処理は、どのタイミングで行うのが普通でしょうか?
1.JavaScliptで特定文字 < や > を入力させない。
2.サーバーサイドで特定文字 < や > を入力させない。
3.DBに格納する前にエスケープして、エスケープ処理後の文字列をDBに格納する。
4.DBにはそのまま格納し、出力のさいにエスケープ処理を行う。
5.どこでもかまわない。
6.その他
今まで私はあまり意識する事なく(4)を選択していたのですが、最近他の人の作ったプログラムを見る機会が増えて、その違いにちょっと気になりました。
正解はないのかも知れませんが、一般的な方法と、そのメリット、デメリット等、教えて頂けると助かります。
No.3ベストアンサー
- 回答日時:
HTMLタグを使用させないようなアプリケーションでは、4が正解です。
1 簡単に回避できるので、意味がありません。
2 < や > を許容するケースでは通用しません。
3 DBのデータはHTMLに出力する用途以外にも使う事があります。例えばCSVファイルに落として、宛名出力するなどの用途です。DBのデータは「生の文字列」にしておくのが望ましいです。
HTMLエスケープはHTML生成時に行なう、SQLエスケープはSQL生成時に行なう、などが基本です。
>3 DBのデータはHTMLに出力する用途以外にも使う事があります。例えばCSVファイルに落として、宛名出力するなどの用途です。DBのデータは「生の文字列」にしておくのが望ましいです。
確かにHTML出力以外に利用したい時には元の文字列に戻す事が困難ですね。
各ケースにおいて、具体的に説明していただいた事でとても参考になりました。
ありがとうございました。
No.2
- 回答日時:
私が教わった物は出力時にエスケープをすると言うものでした。
つまり4番ですね。
それが絶対に正しいとは思いませんが、現在のところはそれが基本なのではないかな?と思います。
もちろんSQLインジェクションなどを防がなくてはならないので、DB格納前にはSQL用エスケープ処理が必要になります。
専門家の方の意見を聞けて、ひとまず安心しました。
エスケープのタイミングをどこで行うかによって、かなり内部ロジックが変わってくるので...
ひとまず基本的な方法をとっておけば、他の人がソースを修正するような場合、困らないと思うので!
私自身、まだPHP初心者なので、他の人のソースを読むとき苦労する場合があります。
なるべくコメントをいれて、一般的な方法でコーディングするように心がけようと思っていますが、今回の件がちょっと気にかかったもので、質問させて頂きました。
回答ありがとうございました。
No.1
- 回答日時:
5.は当然問題外として、1.2.は使用用途によると思います。
例えばタグ入力可能な掲示板やブログなどを作成するのであれば、入力制限を行っては本末転倒ですし。
この辺はポリシーの問題ですね。
ガチガチにセキュリティを意識して作るのであれば、1.2.を実装しても良いと思います。
3.4.ですが、自分は3.の段階で処理を行っています。
ここで処理しないとデータベースへのINSERTに失敗する可能性が非常に高いからです。
また一般的な方法としては、PEARのクラスを使用するのが一般的ではないかと思います。
回答ありがとうございます。
>3.4.ですが、自分は3.の段階で処理を行っています。
>ここで処理しないとデータベースへのINSERTに失敗する可能性が非常に高いからです。
この件については、知りませんでした。
実際に私が見た他の人のプログラムでは、(3)の方法をとっている方がいました。
この件を考慮して、(3)の方法をとっていたのですね。
参考になりました。
ありがとうございました。
お探しのQ&Aが見つからない時は、教えて!gooで質問しましょう!
似たような質問が見つかりました
- Excel(エクセル) 【VBA】指定フォルダに格納中のテキストファイルをエクセルで処理し結果のエクセルを新規フォルダに保存 1 2022/03/25 14:19
- Excel(エクセル) Excelにて、フォルダ内のTextファイルをマクロで統合すると文字化けしてしまう時の解消コード 4 2023/01/01 07:32
- C言語・C++・C# C#の問題です。 文字列型の配列 s[100] にキーボードから入力された100文字以内の文字列(単 2 2022/06/22 15:18
- Excel(エクセル) PHPプログラムをエクセルに張り付けると検索ボックスがでてくる! 3 2022/05/08 07:10
- JavaScript 助けてください‼︎ javascriptで質問があります。 配列を定義して、 29342、45342 3 2022/06/26 22:06
- その他(プログラミング・Web制作) findコマンドでのグロッピング 4 2022/07/04 17:51
- Visual Basic(VBA) 以下のVBAで該当文字列の前後に付与したい。 例 前に付与 abc ユーザーID 12345 後に付 3 2022/04/19 21:50
- Ruby 初心者プログラミング 3 2022/10/12 11:31
- Visual Basic(VBA) batにて、異なるフォルダの同名ファイルを参照し、文字列を判別。擬似配列で変数へ格納 3 2022/04/10 03:37
- Java Java 南京錠 2 2023/02/04 11:46
関連するカテゴリからQ&Aを探す
デイリーランキングこのカテゴリの人気デイリーQ&Aランキング
-
VBAで重複チェックの仕方を教え...
-
asp.netでのセッションを使用し...
-
CGIとPHPの違い
-
PHPファイルの裏側を知りたいです
-
IFRAME内PHPのセッション変数取...
-
phpでフォーム登録したものがチ...
-
ログイン画面から入って、「戻...
-
HTMLエスケープ処理とデーター...
-
php/MySQLによるログイン認証に...
-
動的にhtmlテーブルを表示
-
ページを段階的に表示するには
-
アップロードした画像の削除
-
飛び先のランダムURLの取得方法...
-
Dosブロンプトでtabを出力したい
-
wordの差し込み印刷で文字...
-
「取得先」という表現について
-
DTOとEntityの差は何ですか。
-
shシェルスクリプト 空白行の...
-
【C#】DataGridViewの最大列数...
-
VBA コレクションに2次元配列...
マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング
-
POSTで受け渡したものを保存し...
-
php 入力画面から確認表示画面...
-
フォームを使わずにPOST送信す...
-
ログイン画面から入って、「戻...
-
VBAで重複チェックの仕方を教え...
-
動的にhtmlテーブルを表示
-
ブラウザバックしてもチェック...
-
HTMLエスケープ処理とデーター...
-
php history.back()の戻るボタ...
-
asp.netでのセッションを使用し...
-
IFRAME内PHPのセッション変数取...
-
セッション使用時のフォームの...
-
閉じるボタン「×」を制御したい
-
PHPで返信メールにチェックボッ...
-
HTMLエスケープすべき場所につ...
-
PHPで値を保持する方法
-
php/MySQLによるログイン認証に...
-
リストボックスにテキスト入力...
-
cURL関数を使用したphpからのpo...
-
GETのメリットについて
おすすめ情報