PHPでDBへデータを格納する際のXSS対策

Question

PHPを使用してDBへデータを格納する際に、一つ疑問が浮かびました。

DBへ登録するとき、セキュリティ上文字列のエスケープは必要あるのでしょうか？

XSS対策で文字列をエスケープするのはわかるのですが、scriptは登録されたデータをブラウザ上で表示されるときに実行されるのでわざわざDBへ登録する際に文字列をエスケープする必要はあるのでしょうか？

DBへ登録する際にエスケープしてしまうと検索などに引っかからなくなるという記事も見かけました。

Answer 1

XSS対策で文字列をエスケープするのはわかるのですが、scriptは登録されたデータをブラウザ上で表示されるときに実行されるのでわざわざDBへ登録する際に文字列をエスケープする必要はあるのでしょうか？

ご認識の通り、エスケープ処理は表示の際に行うので、DB登録の際にエスケープ処理する必要はありません。

DBへ登録する際にエスケープしてしまうと検索などに引っかからなくなるという記事も見かけました。

そのとおりです。たとえば、「<(^o^)>」を登録する際にエスケープ処理すると、「<(^o^)>」としてDBに登録されることになりますが、単純に「<(^o^)>」で検索してもヒットしません。
また、エスケープ処理すると文字数が増えるので、本来データベースの列の制限内の文字数であっても、エスケープ処理後は文字数が超えてしまうばあいが想定されます。

DB登録時にHTMLエスケープするという方法は、かなり昔に行われていた間違った方法ですが、現在でもPHPの入門書などではこの方法が説明されていることが多く困ったものだと思っています。

Answer 2

DBには原則生データを登録します
登録してはいけないデータはあらかじめ除外します

Answer 3

DBに登録するときにエスケープするべきではないです。
出力するときに用途に合わせてエスケープするべきです。
用途はHTML中への出力とは限らないと思います。

たとえば名前をDBに登録するとして、
HTML中なのかJavaScriptの変数としてなのかメール本文なのかによって
扱いが違ってくると思います。

<p>★★★さん こんにちは</p> <script> var name='★★★'; </script>

[メール本文]
★★★さん
ご登録ありがとうございました。