$_POSTで送られた値は、全て文字列型として扱われるのでしょうか？

Question

POSTで送られた値は、全て文字列型として扱われるのでしょうか？

以下のようなフォームがあったとします。

<form name="sample_form" action="#" method="post">
  <input type="text" name="sample_test">
  <input type="submit" name="sample_submit" value="検索">
</form>
<?php
if( isset($_POST['sample_submit']) ){
  $test = $_POST['sample_test'];
?>

上記の環境で、
$_POST['sample_test']の中身が、die("「HELLO」");
の場合、どうなるのだろうと思い実験したところ、何も起きませんでした。

die("「HELLO」");
がPHPとしてわたってきていたら、画面が白くなって「HELLO」と表示されると思うのですが、ならないということは、文字列として扱われているということなのでしょうか。

以前、何かの記事で、POSTの中身が「文字列であるか」を確認し、「文字列でない場合はエラーを返す」ようにしている記事を読んだ記憶があります。

しかし、PHPにおいて、POSTで送られた値が全て文字列型として扱われる仕様なのであれば、個人的に文字列型かどうかの検証はする必要がないと思うのですが、どうなのかなと不思議に思い、質問させて頂きます。

もしかして、$_POSTで送られてくる中身が文字列以外の例外的なケースなどもあるのでしょうか？

Answer 1

$_POSTで送られた値は、全て文字列型として扱われるのでしょうか？

表現からして、少し勘違いがあるかと。
$_POST は、「Content-Type に application/x-www-form-urlencoded あるいは multipart/form-data を用いた HTTP リクエストで、 HTTP POST メソッドから現在のスクリプトに渡された変数の連想配列」です。

つまり、$_POST は POST されたデータの中から特定の箇所をフォーマットに従い取り出した内容の格納先ということです。
で、その取り出しの際 $_POST に文字列(or 配列)として格納されるということです。

何かの記事で、POSTの中身が「文字列であるか」を確認し、「文字列でない場合はエラーを返す」ようにしている記事を読んだ記憶があります。

$_POST 以外の取り出し方法も php には用意されているので、方法によっては POST データそのものの中身の確認が必要です。ただ、使われる機会は限定的なので、そういった使用方法があることだけ知っていれば当面は不自由しないと思います。

余談

die("「HELLO」");

がPHPとしてわたってきていたら、画面が白くなって「HELLO」と表示されると思うのですが、ならないということは、文字列として扱われているということなのでしょうか。

eval() に文字列を突っ込むことで実現します。
これは、$_POST が文字列であることとは無関係で、文字列を突っ込む先を間違うと危険ということです。

Comments

[yayak]

こんなにも詳しい、勉強になる回答を頂けて、本当に有難うございます。
ものすごく参考になりました<(_ _)>
もっともっと勉強します！

Answer 2

POSTで送られた値は、全て文字列型として扱われるのでしょうか？

そのとおり、POSTやGETで送信されたものは文字列型になります。
var_dump関数でチェックしてみてください。
例えば

var_dump($_POST['example']);

stringという部分があれば文字列型です。

Comments

[yayak]

おっしゃる通りでした、ありがとうございます！
勉強になりましたm(_ _)m

Answer 3

POSTで送られた値は、全て文字列型として扱われるのでしょうか？

配列を送信することは可能です。

<input name="foo[]" value="a">
<input name="foo[]" value="b">

このようなフォームを送信すると、$_POST['foo']には['a', 'b']のような配列が入ります。

Comments

[yayak]

配列の可能性を見落としていました。
ありがとうございます、本当にその通りですねm(_ _)m

Answer 4

文字列扱いですよ。
勝手にPHPコードが実行されるような恐るべき仕様だったらdo{fopen('http://example.com')}while(1)のような文字列がPOSTされたら恐ろしいですよね？

Comments

[yayak]

ですよね(＞＜;)
POSTされてくる中身を毎回文字列型かどうかチェックしていた方の記事を思い出し、急に心配になってしまいました、ありがとうございます！

[退会済みユーザー]

ちなみに、struts2（javaのoss）のライブラリのよくある不具合として

postされたデータによってリモート上の意図しないコードが実行される

というものがあったりするから過信はいけない。

[yayak]

そんなこともあるのですね。。用心のし過ぎはないということなのですね。。
とても参考になりました、有難うございます<(_ _)>