PHP XSS 攻撃防御のベストプラクティスと実践ガイド

M66 2025-11-01

PHP クロスサイトスクリプティング攻撃に対処するための最良の戦略

クロスサイトスクリプティング (XSS) は、攻撃者がアプリケーションの脆弱性を利用して悪意のあるスクリプトをユーザーのブラウザに挿入できるようにする攻撃です。 PHP アプリケーションは、ユーザー入力処理を広範囲に使用しているため、この種の攻撃に対して脆弱です。

PHP で XSS 攻撃を効果的に防御するには、多層のセキュリティ対策が必要です。主な実践方法は次のとおりです。

入力の検証

すべてのユーザー入力を厳密に検証することが、XSS 攻撃を防ぐ最初のステップです。 filter_var()やhtmlspecialchars()などの PHP 組み込み関数を使用して、入力をフィルタリングおよびサニタイズすることができます。これにより、悪意のあるスクリプトが防御メカニズムをバイパスすることを効果的に防ぐことができます。

エンコードされた出力

悪意のあるコードがブラウザで実行されるのを防ぐために、HTML 出力はユーザーにコンテンツを表示する前にエンコードする必要があります。 PHP は、出力エンコードを完了するためのhtmlentities()関数を提供します。

コンテンツセキュリティポリシー (CSP)

コンテンツセキュリティポリシー (CSP) は、ブラウザが HTTP ヘッダーを通じてロードできるリソースのソースを指定します。 Content-Security-Policyヘッダーをアプリケーションに追加すると、外部スクリプトとスタイルシートの読み込みを制限できるため、XSS 攻撃のリスクが軽減されます。

実践事例

以下は、 htmlspecialchars() を使用してユーザー入力を検証し、エンコードする方法を示すサンプル PHP コードです。

<?php
// ユーザー入力を取得する
$user_input = $_GET['input'];

// ユーザー入力を検証する
$filtered_input = filter_var($user_input, FILTER_SANITIZE_STRING);

// ユーザー入力をエンコードする
$encoded_input = htmlspecialchars($filtered_input);

// 存在する HTML エンコードされた入力を出力に表示する
echo "<p>入力内容は二流のとおりです: $encoded_input</p> ";
?>

この例では、ユーザー入力は最初にfilter_var()によってフィルタリングされて不正な文字が削除され、次にhtmlspecialchars() を使用してエンコードされ、ブラウザで悪意のあるコードが実行されるのを防ぎます。