PHP スーパーグローバル関数を上書きしてはいけない？

Question

質問内容はシンプルなのでそのまま記述します。

phpにてエスケープしたいとき、htmlspecialcharsを使わなければいけないとおもっていました。

<?php echo htmlspecialchars($_POST['name']); ?>

ただ$_POST/$_GETなどは上書きしてはいけないということもあるみたいなので上記コードを表示する箇所全てに表示するという事態になりかねません。
ただ同時に$_POST/$_GETは直接アクセスしない方がいいということもあり、どう使えばいいのかわからなくなってしまいました。

$_POST/$_GETはどのように使うのが正しいのでしょうか？

Answer 1

phpにてエスケープしたいとき、htmlspecialcharsを使わなければいけないとおもっていました。

それは間違いないですが、

<?php echo htmlspecialchars($_POST['name']); ?>

は**$_POST['name']に格納されている値に対してhtmlspecialchars()を掛けて画面出力する**記述であり、$_POST['name']自身が変化しているわけではありません。

上記コードを表示する箇所全てに表示するという事態になりかねません。

「表示する箇所全てに表示する」というのは「表示する箇所全てにhtmlspecialchars()」をかけるという意味でいいですかね？
htmlspecialchars()は基本的に画面出力する際にかけるものなので、基本的には、そうです。

一応、$_POST["test"] = "hogehoge";のようにしてSUBMITされていない情報を設定したり、SUBMITされた情報を上書きするのも可能ではありますが、私はそういう使い方をしたことがありません。
$_POSTの値を直接参照したくないのであれば、一度何かしらの変数で受けて、その変数に対して色々処理を施していく、というのが通常の運用方法かと思います。
もし「全箇所にかけなければならない」という懸念があるのでしたら、$_POSTをそのまま別の変数に受け取っておき、foreachで回して全てにhtmlspecialchars()を掛けた上で、その変数を画面出力に利用すれば良いと思います。

$post_vars = $_POST;
foreach($post_vars as $key=>$value){
 $post_vars[$key] = htmlspecialchars($value);
}

echo $post_vars["test1"];
echo $post_vars["test2"];

というので、正確には

phpにてエスケープしたいとき、htmlspecialcharsを使わなければいけないとおもっていました。

↓

phpにて**「画面出力時にエスケープしたい情報に対してhtmlspecialcharsを使う」**が正しい理解です。

Comments

[退会済みユーザー]

つまり上書きというのは$_POST/$_GETなどに別の値を代入するということなんですね！
となると
$post_name = $_POST['name'];
は上書きではないですね！多分ここを勘違いしていました。

[m.ts10806]

説明不足があったので追記しました。

＞　$post_name = $_POST['name'];
$変数 = ○○;

はあくまで「$変数という変数に○○を代入する」だけです。右辺（この場合、$_POST['name']）は何も変化しません。
↓のように実際に色々やってみると良いですよ。

$post_name = $_POST["name"];

echo $post_name;
echo $_POST["name"];

$post_name .= "hogehoge":

echo $post_name;
echo $_POST["name"];

$_POST["name"] .= "fugafuga":

echo $post_name;
echo $_POST["name"];

[退会済みユーザー]

丁寧な説明ありがとうございます！

僕が引っかかっているのはこちらの記事なのですが、
https://goo.gl/bHV7ZS
foreachも用いてエスケープしている部分ですが、これは代入ではなく上書きしてしまっているということですよね？

[m.ts10806]

その方の記事はよく参考にさせていただいてますし、提示の記事も読んでいます。
「絶対に書いてはいけません。」と書いてありますし、その理由や本来すべきやり方も書いてありますが、
どこに引っかかったのでしょうか？

[m.ts10806]

あー、そういえば
> このように、出力先にかかわらず、エスケープは必ず、出力を行うその時点で行います。
ですね。確かに私が提示したサンプルソースのように全てpostを受けておいて先にhtmlspecialchars()を掛けておくやり方もありますが、「すぐ画面出力する前提」でないと本来はやるべきではないですね。
出力箇所から遠いと何かしら加工が入る可能性がないわけでもないですし。
もし全てに書くのが面倒なのであれば、テンプレートエンジンやフレームワークを導入するというのも1つの手です。

[退会済みユーザー]

すいません、僕の勘違いでした、

エスケープするためにforeachを用いて$_POSTを代入してはいけないのだと思っていました。
foreachの中身を僕があまりみていなかったので勘違いが発生しました。

[m.ts10806]

なるほど。ソースコードも関連する記事もきちんと読み込んで意味を理解するのは大事ですね。
がんばってください。

Answer 2

気になるようであれば変数に受けておけばよいでしょう

$name=filter_input(INPUT_POST,"name");