ＰＨＰにおいてＵＲＬパラメータのみをエスケープするにはどうすればいいんでしょうか？

Question

ＰＨＰにおいてＵＲＬパラメータのみをエスケープするにはどうすればいいんでしょうか？

ググると、「ＵＲＬエンコード」っていうのが出てきますが「ＵＲＬエンコード」と「ＵＲＬパラメータのエスケープ」というのはやってることとしては同じということになるんでしょうか？

Comments

[maisumakun]

「どこに出力する」URLパラメーターについての話でしょうか。

[bakaemon]

出力というか、MySQLのデータベースに格納するときにエスケープしておきたいです。

Answer 1

出力というか、MySQLのデータベースに格納するときにエスケープしておきたいです。

データのエスケープは、最終出力の直前に行うのが鉄則です。そうしないと、二重エスケープや抜けが発生することがあります。今回の、「URLをMySQLに格納する場面」での場合、

• データベースとしてのエスケープ→DBの値バインドを使うのが望ましいですが、手動でSQL文を組み立てざるを得ない場合、エスケープは必須です（忘れた場合、SQLインジェクションの危険があります）。
• URLとしてのエスケープ→最終出力に合わせてやるべきことですので、この段階で行うのは不適当かもしれません。

Comments

[bakaemon]

なるほど、確かにそうですよね。
上記の件で言うと「URLとしてのエスケープ」をしたうえでDBに格納したいということになるのですが、極力ＤＢに入れるときは文字列としての値バインド程度のエスケープで留めておいて、最終出力の時にやるように考えてみます。