真偽値の確認について

Question

以下のコードは拝見させて頂いておりました、Qiitaの記事にて記載されておりましたコードになります。

$email = (string)filter_input(INPUT_POST, 'email');

/* 2. 値の形式に関するバリデーション */
if (false !== filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo "正しいEメールアドレスです: $email\n";
} else {
    echo "Eメールアドレスの形式が不正です: $email\n";
}

上記コードのif (false !== filter_var($email, FILTER_VALIDATE_EMAIL)) {こちらの部分をif ( filter_var($email, FILTER_VALIDATE_EMAIL)) {こちらに置き換えても挙動は同じでしょうか？
以下のコードで値を入力し試してみた限りでは、同じように思えましたが、確証がなかった為、質問させて貰いました。

<?php
$email = (string)filter_input(INPUT_POST, 'email');

/* 2. 値の形式に関するバリデーション */
if (false !== filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo "正しいEメールアドレスです: $email\n";
} else {
    echo "Eメールアドレスの形式が不正です: $email\n";
}

?>

<form  method="post">
    <input type="text" name="email">
    <input type="submit" value="送信">
</form>

Answer 1

今回のケースに限って言えば、FILTER_VALIDATE_EMAILでfilter_var()した戻り値が
0やnullや空配列になることはないので書き換えは可能ですが
falseでないということは厳密に比較することでバグを減らす効果が期待できます。
「!==false」の癖をつけておいた方が今後のためなります

Comments

[aae_11]

ご回答ありがとうございます。
falseでない場合を明確に判定したい場合は、「!==false」こちらの書き方は有用という訳ですね。

[aae_11]

すみません。
ご回答頂きました中で一点お聞きしたい部分があるのですが、FILTER_VALIDATE_EMAILでfilter_var()した戻り値が0やnullや空配列になることはない、というのは、「$email = (string)filter_input(INPUT_POST, 'email');」こちらでstringへのキャストを行っているからでしょうか？

Answer 2

たとえば、

filter_var("abcd0!!!", FILTER_SANITIZE_NUMBER_INT)

の値は、数字以外が除去され、"0" が残ります。

したがって、それをifで評価するとfalseになってしまいます。

<?php
if (filter_var("abcd0!!!", FILTER_SANITIZE_NUMBER_INT)) {
    echo "TRUE";
} else {
    echo "FALSE";
}
if (false !== filter_var("abcd0!!!", FILTER_SANITIZE_NUMBER_INT)) {
    echo "TRUE";
} else {
    echo "FALSE";
}

上記のようなコードを書くと、結果が違ってくるので、falseと比較するものだと思っておいたほうが安全です。

検証フィルタ の場合は確かに挙動に違いはないといえそうですが、filter_varを使うときはfalseと比較する、と考えておいたほうが安全かなと考えます。

Comments

[aae_11]

ご回答ありがとうございます。
大変分かりやすくご説明頂き、感謝です！
条件を判定する際は方法が色々あるので、気を付けないといけませんね...

[tetsunosuke]

有名なものだとpreg_match（https://www.php.net/manual/ja/function.preg-match.php）なんかでは、そこらへんが明示的に警告として、

警告
この関数は論理値 FALSE を返す可能性がありますが、FALSE として評価される値を返す可能性もあります。 詳細については 論理値の セクションを参照してください。この関数の返り値を調べるには ===演算子 を 使用してください。

と書いてありますので、
習慣という面でも意識しておくとよいかと！

[退会済みユーザー]

なぜ使用しているフィルタが「FILTER_SANITIZE_NUMBER_INT」に変わっているのかよく分かりませんが、入力バリデーションで FILTER_SANITIZE 系を使用する場合は、元の文字列とフィルタ後の文字列を比較して、「変化がないことを確認する」といった手順になると思います。
メールアドレスの検証であれば、FILTER_SANITIZE 系を使用することはまずありえません。

[maisumakun]

「真理値としてみると地雷を踏む」例として有名なものには、strposもあります。「先頭で見つかった場合」は(int)0、「見つからなかった場合」はfalseを返しますので、多くの場合にこの峻別が必須となります。

（preg_matchの「エラーが発生した場合」って、正規表現自体がおかしい場合以外はどういう状況なんだろうか…）

[tetsunosuke]

ただの例です。
filter_vars を説明するためにあえて注意しなくてはいけない点として記載しています。検証フィルタについては後半で説明していますし、質問者の方も納得しているのでまあ良いのかなとは思っています。

[退会済みユーザー]

例として適切ではないと指摘しています。

また、検証フィルタの記述に関しても間違いがあります。
FILTER_VALIDATE_BOOLEAN
FILTER_VALIDATE_REGEXP
に関して確認/修正されると良いです。

Answer 3

本件の本質は、php の型変換です。
if(f(x)) と if(f(x)!==false) は等価ではありません。

PHP 型の比較表ページにある「PHP 関数による $x の比較」表の右列「boolean : if($x)」を見るとかなり多くの型が、false へ変換されることがわかると思います。

ただ、すでに別の回答にあるように、今回のケースでは検証対象が「email アドレス」で「FILTER_VALIDATE_EMAIL」を使用しているので、事実上問題は発生しないです。

余談
php の型変換は、非常にやっかいです。型変換への理解がよほどのものでなければ比較には型変換を伴わない「厳密な比較」を使用することをオススメします。

Answer 4

PHPマニュアルを確認しますと

filter_var()

返り値 ¶
フィルタリングされたデータ、あるいは処理に失敗した場合に FALSE を返します。

ですが、おおよそ同じ挙動になるものと思います。
ただ、「失敗した場合にFALSEを返す」というのが仕様的に明示されているため（成功した場合は正しいメールアドレス）、
「それ以外である」という表現をするため筆者はあえてfalse !== と
確実に返ってくる内容をもとに判断させているものと思います。

Comments

[aae_11]

なるほど...
FALSEでないということを明確に判定したい場合は、「false !== 」こちらの書き方は有用ですね。

[m.ts10806]

はい。そこは他のフィルタリングもあわせてPHPマニュアルの仕様を確認してみると良いです。