【PHP】「htmlspecialchars」は「MYSQL保存時」にも使用した方が良い？【初心者】

Question

現在、プログラムの勉強をドットインストールや書籍・ネットでしている者です。

セキュリティの面で「htmlspecialchars」を使う必要があるというのは多く見かけるのですが
個人の方が運営しているサイト等では
「HTMLに表示する際にのみ必要」と書いてあったり
「MYSQLのデータベースに書き込みを行う時も必要」とあったりして混乱しています。

現在は念の為に「HTMLで表示する際」と
「PDOを使ってお問い合わせ等のユーザー入力の文章をMYSQLに保存する際にも使用しています。」

基本的には「ユーザーが入力したもの」には全部「htmlspecialchars」を使用しているのが現状です。

これは「html上に表示する際」だけで良いのか
スクレイピングで他サイト様が作成された情報だったり
お問い合わせでユーザーが入力した文章をMYSQLに保存・更新する際にも
「htmlspecialchars」が必要だったりするのでしょうか？

独学で勉強していて周りにお聞きできるような知人もおらず困っています。
教えて頂けると嬉しいです。
どうかよろしくお願いします。

Answer 1

こちらが参考になるかと。

「何故htmlspecialcharsを通すのか？」を一言でどうぞ-@mpywさん

少し難しいですが、DB周り、POST/GET周りの記事を一通り読んで理解しておくと安心です。
[PHP] 自分の主要な記事のまとめ-@mpywさん

Comments

[shimane]

すみません、本当の初心者なので教えて頂いた記事
「何故htmlspecialcharsを通すのか？」を一言でどうぞ-@mpywさん」で完全に理解する事が出来ませんでした。

教えて頂いた記事の結論に
Content-Type: text/plain な入力を Content-Type: text/html な環境の中に正しく出力させるため。
とありました。

これはテキスト文をhtml文章の環境の中に正しく出力する為だと思うのですが
mysql保存・更新・編集時には
html環境は関係無いので「htmlspecialchars」を通す必要はないという風な理解で大丈夫でしょうか？

プログラム初心者で独学で勉強中なので
間違った理解をしたままだと間違いを指摘されずにそのまま進んでしまう環境なので
しつこくなってしまうようで申し訳ないです。

[退会済みユーザー]

書いてありますよ。

===
SQL文にユーザ入力を埋め込む際にhtmlspecialcharsを用いるのは不適切である。求められる変換は text/plain から text/html ではなく、text/plain から application/sql(における文字列リテラル) だ。この処理はプリペアドステートメントとそれに付随するプレースホルダが役割として担うものである。
===

[shimane]

おおー！本当に申し訳ないです。
回答だけじゃなくて、教えて頂いて有難うございます。

教えて頂いた通りに、もっと勉強進めていこうと思います。
大感謝！