nullバイト対策でpreg_matchを使用した時に「\0」にマッチしない

Question

前提・実現したいこと

お問い合わせフォームを作っています。
nullバイト対策で意図した動作が出来ずに困っています。

フォームからはPOSTでデータを送信しているのですがテストに「名無し\0」と入力して送信してもpreg_matchでで"\0"にマッチしません。
「\0」が入っているにも関わらず常に「正しい値です」が表示されてしまうのです。

「str_replace」でサニタイジングしている例がよく書かれていますができれば入力自体が不正としてエラー表示を出したいのです。
いろいろ試したり調べたりしてみましたが原因がわかりませんでした。

お詳しい方々のアドバイスなど頂けると幸いです。
よろしくお願いいたします。

発生している問題・エラーメッセージ

preg_matchで"\0"にマッチしない

該当のソースコード

var_dump($_POST);
foreach($_POST as $key => $val){
    $pattern_null = '/\0/';
    if(preg_match($pattern_null, $val)){
        die('不正な入力です。');
    }else{
        die('正しい値です');
    }
}

var_dumpしたときの$_POSTの値
array(5) {
  ["name1"]=>
  string(11) "名無し\0"
  ["name2"]=>
  string(9) "権兵衛"
  ["kana1"]=>
  string(9) "ナナシ"
  ["kana2"]=>
  string(12) "ゴンベエ"
  ["sendform"]=>
  string(15) "確認画面へ"
}

試したこと

直接コード内に"名無し\0"と書いた場合にはマッチしました。

補足情報（FW/ツールのバージョンなど）

ここにより詳細な情報を記載してください。

Answer 1

データに入っているのは「ヌル文字」"\0"じゃなくて、「バックスラッシュゼロ」"\0"のようですよ。

ヌル文字を送るには、おそらく、HTML画面から文字を入れるんじゃなくて、プログラムで送信する必要があると思いますが、そうしていますか？

Comments

[veneno]

ご回答ありがとうございます。

テストはフォームからの入力でしかしていないです。
自前でフォームを作るのは初めてなのですがフォームからの場合は"\0"と入力しても"\0"になってしまうのでしょうか？

[otn]

フォームから入力できるのは、「バックスラッシュゼロ」で、それはPHPプログラム内では"\0"と表記します。

ブラウザからの入力だけでは、ヌル文字のテストは出来ないと思います。
と思ったけど、開発者ツールを使えば出来ますね。
JavaScriptを使って、inputタグのvalueを書き換えて送信するとヌル文字も送れました。

[ockeghem]

POSTではなくGETにして、ヌル文字は%00で指定するのが簡便かと思います

[otn]

> POSTではなくGETにして、
なるほど！

[veneno]

otnさん、ockeghemさんありがとうございます。

>フォームから入力できるのは、「バックスラッシュゼロ」で、それはPHPプログラム内では"\0"と表記します。
ということはvar_dumpで"名無し\0"と表示されていても実際には「名無し\0」とプログラム側は認識しているということなのでしょうか？
確認にはChromeのデベロッパーツールを使っています。

>POSTではなくGETにして、ヌル文字は%00で指定する
というのはformタグのmethodを「GET」にして「名無し\n」を「名無し%00」に書き換えてテストするということでよろしいでしょうか？

[ockeghem]

『ormタグのmethodを「GET」にして「名無し\n」を「名無し%00」に書き換えてテストするということでよろしいでしょうか？』<はい。いったん送信ボタンを押してヌル文字なしの結果が表示されますが、その後アドレスバー上で %00 を追加する操作になります。

[veneno]

ockeghemさん、わかりやすいアドバイスありがとうございます。
おかげで、うまくいきました。

今回は、otnさん、ockeghemさんのアドバイスでvar_dumpで表示されたものと実際にプログラム側が認識している値に違いがあることがわかりましたが、フォームからの入力以外で同じようなケースに遭遇した場合にはどう変数内の値を確認したらよいのでしょうか？

[otn]

var_dump()でなく、var_export()でしょうか。

[otn]

↑だめだ。\0 は表示してくれるけど、全てのコントロールコードを見えるようにはしてくれない。

[ockeghem]

僕は echo bin2hex(式); を使っていますね

[veneno]

otnさん、ockeghemさんありがとうございます。

var_dump()、var_export()、echo bin2hex(式)
それぞれ使ってみましたが一長一短ありますね。
どれか一つで不可視文字などもきちんと表示してくれるものがあると助かるのですが確認したい内容に合わせて使い分けるしかなさそうです。
でも、初心者向けのページではecho、print_r、var_dumpしか出てこなかったので確認する方法が広がったのは今後の助けになります。
お二人には感謝です。