外部からPOSTされた値をdefineの値にする場合の処理について

Question

外部からPOSTされた値をdefineの値にする場合の処理はどのようなことが必要でしょうか。

ダブルコーテーションについてをエスケープする他に何かありますか？

Comments

[m.ts10806]

defineの値にする
とはどういうことでしょうか。

[pac894398]

すみません。
define("data", ***POSTされた文字列***);
のようにファイルに書き出すということです。

[m.ts10806]

なぜ定数に動的な値を入れるのでしょうか。
用途が分からないと的確なアドバイスにはなりません。

[pac894398]

システムのセットアップ画面の作成です。
jsonなどに保存すれば楽なのですが、
後から変更することを考えたらdefineにしようと思いまして...。
wp-config.php のようなDBアクセス情報とかなら使える文字列も限られるので良いのですが、
普通の文章の場合はどうすればよいですかね...。

[m.ts10806]

「あとから変更」ならソースコード内に持つのは握手でしかありません。データベースに持つべきですね。

[pac894398]

アドバイスありがとうございます。
データベース接続情報ののように変更頻度は高くないけど、念のため変更できるようにしておきたい程度のものです。
方法がなければやはりJSONに逃げるしかないと思い始めました。

[m.ts10806]

要件整理して「誰にでも伝わるように」具体的にしたうえで質問を加筆修正してください。
私もこれだけ聞いてても今一つピンと来ていません。

Answer 1

入力値を利用する場合、定数であろうが変数であろうが必要な処理は変わりません。

大まかには

1. 定数に指定する時に想定外の値が入らないようにバリデーションを行う
2. 定数を使用する時に、使用用途に応じてエスケープを行う

の2段階の処理が必要になります。
それぞれアプリケーションの要件と状況に合った処理をする必要があるのでこれだけすれば常にOKみたいな処理は存在しません。

• 定数を画面に文字列として出力するならhtmlspecialchars()
• SQLの一部とするなら静的プレースホルダにバインド

等です。

Comments

[pac894398]

ご回答ありがとうございます。質問補足させていただきました。

[tanat]

質問の補足は、質問本文を編集して追記しないと誰も気づかないので、質問本文を編集してください。

> 後から変更することを考えたらdefineにしようと思いまして...。

まずこの方法は普通はやりません。
動的にソースコードを書き換える事は極めて危険ですし、メリットがありません。
POSTの内容をDBやプレーンなテキストファイルに保存して、PHPから呼び出すなどする方が一般的です。

> システムのセットアップ画面の作成です。

これだけではほぼ何もわからないので、可能な限り詳細に質問に追記してください。

エスパー的に回答すると
1. 入力時にHTMLタグがあったらエラーを出して再入力させる
2. 出力時にはhtmlspecialchars()を挟んで出力する
3. DBに保存する際には静的プレースホルダを使って保存する

あたりでしょうか。