PHPセキュリティ開発ガイド：htmlspecialchars（）機能と実用的な例の使用に関する詳細な説明

M66 2025-06-05

PHPのhtmlspecialchars（）関数の関数と使用の詳細な説明

Web開発プロセス中、ユーザーが入力したコンテンツは、多くの場合、ページ表示またはデータの相互作用に直接使用されます。悪意のあるスクリプトインジェクションなどのセキュリティの問題を防ぐために、開発者はこれらの入力データを厳密に処理する必要があります。 htmlspecialChars（）は、 XSS（クロスサイトスクリプティング攻撃）などのセキュリティリスクを効果的に防ぐことができる文字列の特殊文字を逃れるためのPHPの重要な機能です。

関数構文構造


string htmlspecialchars(
    string $string,
    int $flags = ENT_COMPAT | ENT_HTML401,
    string $encoding = "UTF-8",
    bool $double_encode = true
)

$ string ：必須、脱出する文字列。
$ flags ：オプション、引用符を処理する方法を定義します。デフォルト値はent_compatです| ENT_HTML401 。
$エンコーディング：オプション、文字エンコードを指定し、デフォルトでUTF-8を使用します。
$ double_encode ：オプション、エンコードされたエンティティのエンコードを再度許可するかどうかを設定すると、デフォルト値は真です。

キャラクタータイプをエスケープします

この関数は、次の特殊文字をHTMLエンティティとして逃れます。

＆に変換します
「変換」
「変換」（一部の構成で）
<<に変換します
>>に変換します

これらのエスケープを通じて、悪意のあるスクリプトは、ブラウザで効果的に実行されることを防ぐことができます。

使用の例

例1：基本的な特別なキャラクターエスケープ


$input = '<script>alert("Hello!");</script>';
$output = htmlspecialchars($input);
echo $output;
// 出力：<script>alert("Hello!");</script>

この例では、HTMLタグは安全に逃げられ、ブラウザはスクリプトではなくプレーンテキストとしてそれらを実行します。

例2：シングルとダブルの引用を処理します


$input = 'I\'m "John"';
$output = htmlspecialchars($input, ENT_QUOTES);
echo $output;
// 出力：I'm "John"

ENT_QUOTESパラメーターを設定した後、属性出力などのシナリオに適した、単一の引用と二重引用符の両方が逃げられます。

例3：文字エンコーディングを指定します


$input = '漢字';
$output = htmlspecialchars($input, ENT_QUOTES, 'GBK');
echo $output;
// 出力：漢字

指定された文字エンコーディングが入力データの実際のエンコードと一致している場合、中国語などのマルチバイト文字は誤って逃げられません。

例4：ダブルエスケープは禁止されています


$input = 'special & character';
$output = htmlspecialchars($input, ENT_QUOTES, 'UTF-8', false);
echo $output;
// 出力：special & character

$ double_encodeをfalseに設定すると、逃げられたエンティティが再びエンコードされないようにし、出力コンテンツを読み取り可能に保つことができます。

要約します

htmlspecialchars（）は、ページ上のユーザー入力の安全な出力を確保するためにPHPによって提供される重要な関数です。パラメーターを合理的に設定することにより、異なるエンコードおよびエスケープ要件を柔軟に対応し、アプリケーションのセキュリティを効果的に改善できます。フォーム入力や動的コンテンツ出力の処理などのシナリオでは、潜在的なXSS攻撃を回避するためにこの関数を使用することを優先するために開発者が推奨されます。

htmlspecialchars