PHPセキュリティの第一歩！htmlspecialcharsでXSS攻撃を防ごう

2025年9月27日

ユーザーが情報を投稿できるフォームやコメント欄は、Webサイトをインタラクティブにするための重要な機能です。しかし、ユーザーが入力した内容をそのまま画面に表示する処理には、深刻なセキュリティ上のリスクが潜んでいます。

今回は、すべてのPHP開発者が知っておくべき基本的なセキュリティリスク「クロスサイトスクリプティング（XSS）」の危険性と、PHPのhtmlspecialchars()関数を使った簡単かつ強力な対策方法について解説します。

なぜ対策が必要？「クロスサイトスクリプティング」の脅威

クロスサイトスクリプティング（XSS）とは、攻撃者がWebサイトの入力フォームなどを利用して、悪意のあるスクリプト（プログラム）を他のユーザーのブラウザ上で実行させる攻撃手法です。

例えば、以下のようなコメント欄があったとします。

通常の利用: ユーザーが「こんにちは」と入力 → 画面に「こんにちは」と表示される。

悪意のある攻撃: 攻撃者が「<script>alert('警告！');</script>」と入力 → 対策されていないサイトの場合、この<script>タグがそのままHTMLとして出力され、サイトを閲覧した他のユーザーのブラウザがこのスクリプトを実行してしまい、警告ダイアログが表示される。

これは単純な例ですが、実際には以下のような、より深刻な被害につながる可能性があります。

個人情報（クッキー）の窃取: ログイン情報などを盗まれ、アカウントを乗っ取られる。
フィッシング詐欺: 偽の入力フォームを表示させ、IDやパスワードを盗み取る。
Webサイトの改ざん: サイトの見た目を変えられたり、ウイルスを仕込まれたりする。

簡単かつ強力な対策：「エスケープ処理」

このXSS攻撃を防ぐための基本的な対策が、「エスケープ処理」です。

これは、HTMLにおいて特別な意味を持つ文字（< > " ' &など）を、単なる文字列として表示される安全な別の文字列（HTMLエンティティ）に変換する処理のことです。

元の文字	変換後の文字列	意味
`<`	`<`	小なり
`>`	`>`	大なり
`"`	`"`	ダブルクォート
`'`	`'`	シングルクォート
`&`	`&`	アンパサンド

この処理を行うことで、たとえ<script>のようなタグが入力されても、ブラウザはそれを「プログラム」として実行せず、「<script>というただの文字列」として安全に表示するようになります。

PHPの標準的なエスケープ関数：htmlspecialchars()

PHPには、このエスケープ処理を簡単に行うための標準関数htmlspecialchars()が用意されています。ユーザーからの入力値を画面に出力する際には、必ずこの関数を通してから出力することを徹底してください。

基本的な使い方: htmlspecialchars(変換したい文字列, オプション, 文字コード)

推奨される記述例:

<?php
$user_comment = $_POST['comment']; // フォームから受け取ったコメント

// 必ずhtmlspecialchars()でエスケープ処理を行う
$safe_comment = htmlspecialchars($user_comment, ENT_QUOTES, 'UTF-8');

echo $safe_comment;
?>

引数の解説:

第1引数: エスケープしたい変数（必須）。
第2引数: ENT_QUOTES を指定するのが一般的です。これにより、"（ダブルクォート）と'（シングルクォート）の両方をエスケープ対象とし、セキュリティをより強固にします。
第3引数: 'UTF-8' のように、サイトの文字コードを明示的に指定します。これにより、文字化けや一部の攻撃手法を防ぐことができます。

実装例：危険なコードと安全なコードの比較

具体的に、フォームから受け取った名前を表示するプログラムで比較してみましょう。

危険なコード（絶対に真似しないでください）:

<?php
// フォームから受け取った名前
$user_name = $_POST['name'];

// エスケープせずに直接出力しているため、XSSの危険性がある
echo "こんにちは、" . $user_name . "さん！";
?>

このコードでは、もし$user_nameに悪意のあるスクリプトが含まれていた場合、そのまま実行されてしまいます。

安全なコード:

<?php
// フォームから受け取った名前
$user_name = $_POST['name'];

// htmlspecialchars() を使って安全な文字列に変換する
$safe_user_name = htmlspecialchars($user_name, ENT_QUOTES, 'UTF-8');

// 安全な変数を画面に出力する
echo "こんにちは、" . $safe_user_name . "さん！";
?>

このように一手間加えるだけで、XSSのリスクを大幅に軽減することができます。