ssh:// まで通してしまう filter_input について

Question

PHPでユーザーの入力フォームから$_POSTされる値があります。このベストな検証を知りたいです。

$input_url = input_url$_POST['input_url'];

初めに以下で「http://example.com」といったURLの検証を実装しました。

$input_url = filter_input(INPUT_POST, 'input_url', FILTER_VALIDATE_URL) ?? '';

しかし、ssh:// まで通してしまうことを発見しました。

こういった場合はどうしたらいいのでしょうか？

もしかして、正規表現で以下がベストなのでしょうか？

$input_url = filter_input(INPUT_POST, 'input_url', FILTER_VALIDATE_URL) && preg_match('|^https?://.*$|', $_POST['input_url']) ?? '';

Comments

[m.ts10806]

結局何をどこまで検証の対象とするかではないですか？
sshを通すことにより考えられる弊害まで設計に入っているのでしょうか。

Answer 1

しかし、ssh:// まで通してしまうことを発見しました。

発見でもなんでもなく、ドキュメントに記述があります。
検証フィルタ - php.net

値が URL 形式である (» http://www.faqs.org/rfcs/rfc2396 に準拠している) かどうか、 オプションで、必須コンポーネントが含まれているかどうかを検証します。 妥当な URL が、HTTP プロトコル http:// を指定しているとは限りません。 つまり、その URL が期待通りのプロトコル (ssh:// や mailto: など) を使っているかどうか、さらなる検証が必要だということです。 この関数は、ASCII の URL のみを正しいとみなすことに注意しましょう。 国際化ドメイン名 (非 ASCII 文字を含むもの) は失敗します。

要件が不明瞭なのでベストはわかりませんが、ドキュメントの記述通り、フィルタを通した後、「http(s)://」で始まることを検証すればよいのではないかと思います。

Comments

[退会済みユーザー]

User Contributed Notes にも怪しい記述があるので、目を通しておくと良いです。