PHPとJavaScriptの連携について

Question

PHPで得た値をJavascriptで使いたいとします。

このとき

<?php $hoge = 'abcd'; ?>

<script type="text/javascript">
    var hoge = <?php echo json_encode($hoge); ?>;
    console.log(hoge); // abcd
</script>

みたいなコードを書くと、
HTMLをソースでひらくと

<script type="text/javascript">
    var hoge = "abcd";
    console.log(hoge); // abcd
</script>

とabcdがソースに出ますが、これを防ぐにはどうすればいいのでしょうか？
abcdがソースに出なくしたいです。
Javascriptをファイルにしてユーザーが開けなくしたらいいのしょうがやり方がわかりません。

Comments

[masaya_ohashi]

防ぐとはどういうことですか？abcdという文字列を使いたいけどユーザには見られたくない、ということでしょうか？

[kokawa2003]

そうです。

[kokawa2003]

可能なのでしょか？

[kokawa2003]

私が考えるのは、PHPで文字列エンコードしてJSにそれを渡す。そのあと関数内部でデコードする。更にそのJSのファイルもエンコードすることですが他にありませんか？

[masaya_ohashi]

エンコードとかデコードってなんのことです？暗号化と言いたいのでしょうか？エンコード、デコードに暗号化という意味は含まれませんよ。

[kokawa2003]

そうです。間違えました。すみません。

Answer 1

abcdという文字列をユーザに見られたくない！ということでしたら**「どうあがいても不可能」です。
JavaScript上で扱う変数はデバッグツールでも使えばあらゆる変数の中身が見えます。例えHTMLに直接埋め込まず、外部JSに書いたり、Ajax等でabcdという値をサーバから取ってきたとしても、デバッグツールを使えばjsファイルも見えますし、通信内容も丸見えですし、受け取ったあとの変数を覗けばabcdという文字があることがわかります。
クライアント側(JavaScript側)には見られてもよいもの**しか置くべきではありません。そのabcdを使って処理をするのはサーバ側に任せるべきです。

追記

abcdを暗号化しても無駄です。abcdを使うために暗号を復号するコードがJavaScript側にある以上、暗号化して受け渡す意味は全くありません。

あくまで「素人に対するガード」にはなりますが、それなりの実力を持つ攻撃者にはほぼ無意味な行為と思ってください。

Answer 2

ajaxを使い、ページが読み込まれたらPHPにアクセスし、値だけを取得していくのがいい感じですね。

jQueryを使っているのであれば、

$.ajax({
	type: 'POSTまたはGET',
	url: 'PHPのアドレス',
	data: 渡すデータを連想配列で入れる,
	dataType: 'レスポンスタイプ（json,textなど）',
}).done(function(json){
	// 返ってきた値をコンソールに表示
	console.log(json);
	
});

Comments

[kokawa2003]

AJAXをつかってJavaScriptからPHPを使います。

Answer 3

逆にソースにないものは表示できないと思いますが？
妥協点としては、hogeをajaxで別口で受け取ることでしょう