PHPを使ったメールフォームでメール本文に$_SERVER['HTTP_USER_AGENT']を記載する場合は、htmlspecialcharsは必要でしょうか？

Question

PHPを使ったメールフォームでメール本文に$_SERVER['REMOTE_ADDR']や$_SERVER['HTTP_USER_AGENT']を記載する場合は、htmlspecialcharsは必要でしょうか？
個人的にhtmlspecialcharsは当然必要だと思っているのですが、$_SERVERについてのセキュリティ処理について説明しているWEBページがほとんど見当たらなかったため、自分が的外れな処理をしているのではないかと疑念を抱き質問させて頂きました。

なお、postのエスケープ処理は以下のようにしているのですが、

function checkhs($data){
  if (is_array($data)) {
    return array_map("checkhs",$data);
  } else {
    return htmlspecialchars($data, ENT_QUOTES, 'UTF-8');
  }
}
//POSTを一括処理
$_POST = checkhs($_POST);

$_SERVERについても、以下のように一括でエスケープ処理しても問題ないでしょうか？

$_SERVER = checkhs($_SERVER);

それとも、ひとつひとつエスケープ処理すべきでしょうか？

$ip = htmlspecialchars($_SERVER['REMOTE_ADDR'], ENT_QUOTES, 'UTF-8');
$agent = htmlspecialchars($_SERVER['HTTP_USER_AGENT'], ENT_QUOTES, 'UTF-8');

Answer 1

htmlspecialcharsは必要でしょうか？

テキストメールであれば不要、HTMLメールであれば必要です。htmlspecialcharsという名前のとおり、これはHTML出力のためのエスケープ関数なので、テキストメールの本文に出力する場合にはむしろ付けるべきではありません（&などがそのまま見えてしまいます）。

$_SERVERについても、以下のように一括でエスケープ処理しても問題ないでしょうか？

やってはいけません。HTML出力以外で使おうとした場合に、「データがエスケープで破壊されている」ということになります。

Comments

[chicharito]

何故駄目なのかを学校の先生のように説明していただき、非常に分かり易かったです。ご回答、本当にありがとうございました。