WordPressでfilter_inputを使ってPOSTを検証する例

Question

前提・実現したいこと

WordPressのAJAXで記事取得に必要な値をPOSTしています。

その値にfilter_inputを使いたいのですが経験がなく、その点ご指導願えませんでしょうか。

どうぞ宜しくお願い致します。

該当のソースコード

現在のコードはfilter_inputを使わず以下のようになっています。

/*
POSTされる値の内容

access_url : アクセスされたURL
process    : 読み込み経路として 'a'|'b' を指定
post_arg   : 取得したい wp_posts の条件を指定
*/

add_action( 'wp_ajax_get_posts_by_ajax', 'get_posts_by_ajax' );
function get_posts_by_ajax(){

	// 結果
	$result = [ 'error'=>[], 'posts'=>[] ];

	// POSTを受け取る
	$process    = $_POST['process']    ? esc_html( $_POST['process'] )    : ''; 
	$access_url = $_POST['access_url'] ? esc_html( $_POST['access_url'] ) : ''; 
	$post_arg   = $_POST['post_arg']   ? esc_html( $_POST['post_arg'] )   : ''; 
	
	// POSTを検証する
	if ( preg_match( '/https?:/{2}[\w/:%#$&?()~.=+\-]+/', $access_url, $matches ) ) {
		$result['error']['access_url'] = 'access_urlがおかしい';
	}
	if ( $process !== 'a' && $process !== 'b' ) {
		$result['error']['process'] = 'processがおかしい';
	}
	if ( $post_arg === '' ) {
		$result['error']['post_arg'] = 'post_argが空';
	} 
	
	// POSTに問題がなければ
	if ( empty( $result['error'] ) ) {
		
		// $process に応じて記事 $post_id を取得
		if ( $process === 'a' ){
			$post_id = $post_arg['ID'];
		} elseif ( $process === 'b' ){
			$slug = explode('/',$access_url)[5];
			$data = get_page_by_path($slug, OBJECT, 'post');
			$post_id = $data->ID;
		}
		
		// 記事の存在を検証してから取得
		if ( ! get_post_status( $post_id ) ) {
			$result['error']['ID'] = '記事がない';
		} else {
			$result = get_posts( "includes=$post_id" );
		}
	}

	return $result;
	die(); // ← WrodPerssのajaxは最後にdie()を書かないと0が返る
}

上のコードではaccess_url、process、post_argという３つを検証しているわけですが、このうちaccess_url、processの２つはfilter_inputでできるものだと知りました。

###試したこと
そこで下記のようにしてみてはどうかと考えています。検証結果をerrorに入れてreturnさせるのではなく、dieですぐに終わらせるという流れです。

しかしfilter_inputの検証がどうもうまいことできません。

上のコードと同じようにaccess_url、processを検証するためにはどうしたらよろしいでしょうか。

そして、このようにdieですぐに終わらせるという流れはあっているのでしょうか？やはりfilter_inputを使ってもerrorに入れてreturnさせた方がいいでしょうか。

add_action( 'wp_ajax_get_posts_by_ajax', 'get_posts_by_ajax' );
function get_posts_by_ajax(){

	// 結果
	$result = [ 'error'=>[], 'posts'=>[] ];

	// POSTを受け取りつつ検証する
	$process    = filter_input('process', FILTER_VALIDATE_REGEXP, array('options'=>array('regexp'=>'/^[a|b]$/'))) ?? die('processがおかしい');
	$access_url = filter_input(INPUT_POST, 'access_url', FILTER_VALIDATE_URL) ?? die('access_urlがおかしい');
	$post_arg   = $_POST['post_arg']   ? esc_html( $_POST['post_arg'] )   : ''; 
	
	// POSTを検証する
	if ( $post_arg === '' ) {
		$result['error']['post_arg'] = 'post_argが空';
	} 
	
	// POSTに問題がなければ
	
	/*
	あとは該当のソースコードと同じなので省略します
	*/

補足情報（FW/ツールのバージョンなど）

WordPressは5.0.3を、そしてPHPは7.2を使用です。

Answer 1

$process = filter_input('process', FILTER_VALIDATE_REGEXP, array('options'=>array('regexp'=>'/^[a|b]$/'))) ?? die('processがおかしい');

元のソースが$result['error']にエラーを溜め込んでいるのに、dieしちゃだめでしょ

Comments

[yambejp]

<?PHP
$process=filter_input(INPUT_POST,'process',FILTER_VALIDATE_REGEXP,['options'=>['regexp'=>'/^[ab]$/']]);
var_dump($process);
?>
<form method="post">
<label><input type="radio" name="process" value="a">a</label>
<label><input type="radio" name="process" value="b">b</label>
<label><input type="radio" name="process" value="c">c</label>
<input type="submit" value="send">
</form>

上記にて、$processがnullかfalseかそれ以外かで判別します

[sofa]

>元のソースが$result['error']にエラーを溜め込んでいるのに、dieしちゃだめでしょ

ご指摘ありがとうございます。やはりdieせずerrorに入れていくという方がよろしいでしょうか。dieすれば後の処理がなく、ダメな場合の判定が多少は早まるかと考えたのですが。

[sofa]

>上記にて、$processがnullかfalseかそれ以外かで判別しま

なるほど、私のfilter_inputにはINPUT_POSTが抜けていたのがいけなかったのですね。
そうしましたら先のerrorに入れていくことも踏まえまして、以下の流れがよさそうでしょうか。
fiter_inputを使いつつ、dieはせずerrorに入れるという流れになっています。

add_action( 'wp_ajax_get_posts_by_ajax', 'get_posts_by_ajax' );
function get_posts_by_ajax(){

// 結果
$result = [ 'error'=>[], 'posts'=>[] ];

// POSTを受け取る
$process = filter_input(INPUT_POST, 'process', FILTER_VALIDATE_REGEXP,['options'=>['regexp'=>'/^[ab]$/']]);
$access_url = filter_input(INPUT_POST, 'access_url', FILTER_VALIDATE_URL);
$post_arg = $_POST['post_arg'] ? esc_html( $_POST['post_arg'] ) : '';

// POSTを検証する
if ( ! $access_url ) ) {
$result['error']['access_url'] = 'access_urlがおかしい';
}
if ( ! $process ) {
$result['error']['process'] = 'processがおかしい';
}
if ( $post_arg === '' ) {
$result['error']['post_arg'] = 'post_argが空';
}

// POSTに問題がなければ

/*
あとは該当のソースコードと同じなので省略します
*/