PHP、本日の日付を出力する関数

Question

本日の日付を取得するという課題で間違いがないかお助け願えないでしょうか？
一応これでエディタには正しく表示されているのですが、何か気を付けることはありますか？
あと、htmlspecialcharsという関数は書くのが必須と書かれていたので書いてみたのですが、書き方合っていますでしょうか？
よろしくお願い致します。

<?php
$date = date('Y/m/d l');

$date = htmlspecialchars($date, ENT_QUOTES, 'UTF-8');
print $date;
?>

Answer 1

書き方合っていますでしょうか？

間違っている訳じゃありませんが、どちらかというと、変数に代入しない方が良いです。
出力する直前に（＝出力するときに）実行する関数だからです。

<?php
$date = date('Y/m/d l');

print htmlspecialchars($date, ENT_QUOTES, 'UTF-8');

Comments

[heysuky]

そうなのですね。教科書にそのような書き方が載っていたので真似して書いたのですが、以降気を付けるよう意識します。
回答ありがとうございます。

[m.ts10806]

ここですね。
https://qiita.com/rana_kualu/items/11cd41de5f0364ba2ee8
の「エスケープ」->ありがちな間違いの2つ目
>場所が離れている場合、その変数がエスケープされたか否か、HTMLエスケープしたか否か、わからなくなりがちです。
エスケープは必ず出力するそのときにその場所で行います

Answer 2

書き方については、特に問題なし。
「htmlspecialcharsという関数は書くのが必須と書かれていた」と仰っていますがこれはXSS対策のためという意味合いが強いです。
画面出力時に対応する癖をつけるのは非常に良いことですが、「何が入っているかわからない情報」、例えば入力フォームから送信された情報とか、データベースから取り出した情報とか、対しては必須と言ってもいいですが、
今回のように、システム側から払い出していて何がくるか保証されているような情報に対しては必ずしも必須ではありません。

もしhtmlspecialchars()が効いているか確かめたい、ということでしたら、何でもいいのでHTMLタグを含むと良いです。

$date = date('Y/m/d l');

$date = htmlspecialchars("<p>".$date."</p>", ENT_QUOTES, 'UTF-8');
print $date;

ブラウザで見たときに

<p></p>がそのまま出力されていれば成功です。

そこで「ソースを表示」としたときに下記のようになっているはず。
<p>2019/03/05 Tuesday</p>

Comments

[heysuky]

XSS対策と確かに書いてありました。
よくわからなかったので調べてみたのですが悪意のあるリンク等を踏まないようにするためなのですね。
ということはこのような日付の出力の場合特に必要ではなく、なくても正解という認識で合っているでしょうか。
回答ありがとうございます。

[m.ts10806]

> 悪意のあるリンク等を踏まないようにするためなのですね。
というより、この対応をしていないと、JavaScriptとか埋め込んで作動させたりHTML壊したり、色々悪さができるんですよね。
その悪さのうちに「悪意のあるリンクを埋め込む」もできなくはない、といったところでしょうか。
対応方法は「HTMLエスケープ」とも言われます。

>ということはこのような日付の出力の場合特に必要ではなく、なくても正解という認識で合っているでしょうか。

そうですね。そこは回答の通りです。
ただ「全ての出力箇所にHTMLエスケープを入れる」という意識は素晴しいので、「なくていい」ではなく「基本は入れる」認識でいたほうがいいかもしれません。
HTMLエスケープ対応する意味や理由がわかれば適切に取り扱うことができますので。

[heysuky]

詳細ありがとうございます。とても分かりやすいです。
調べたら関数化してHTMLエスケープを入れやすくする方法を見つけたので実践していこうと思います。

回答ありがとうございました。

[m.ts10806]

そうですね。同じ第２、第３引数を使うのなら長い名称なので第１引数用の変数を引数で渡すだけの短名なラッパー関数を作るのは有用です。
他の機能でも同じことが言えるので、なるべく同じ処理は共通化してスマートなコードを書けるように工夫してみてください

Answer 3

間違っています。
そのdate('Y/m/d l')は、「PHPが実行されているOSに定義されている現在日」の情報が返答されます。
仮にPHPが実行されるOSの時計がズレている場合、そのズレた時間に対応する日が返答されます。
が、普通はOS上の時計がズレないような措置を別途行っておくので、この値で正しいとしています。

functionの使い方等はマニュアルを読んで下さい。
http://php.net/manual/ja/function.htmlspecialchars.php

Comments

[heysuky]

読ませて頂きました、ありがとうございます。