PHPのエスケープ処理について教えてください。

Question

htmlspecialcharsでエスケープ化してDBに格納しています。
その値をDBから取得して画面に表示するときに再度htmlspecialcharsする必要はありますでしょうか？

Answer 1

htmlspecialcharsでエスケープ化してDBに格納しています。

そもそもそれが間違いです。入力データは（不正なものなら弾いた上で）そのままデータベースに格納してください。

Comments

[maisumakun]

「htmlspecialchars」という名前の通り、この関数はHTML出力するのに合わせた形の変換を行います。データベースに保存する前に適用するのは不適当です。

[jetstream]

早速のご回答ありがとうございました。

Answer 2

htmlspecialcharsでエスケープ化してDBに格納しています。

ユーザー入力を保管する際に加工していることになるので、前提間違っています。画面表示時にXSS対策の一環として行います。
DB保存時、参照時に行うのはSQLインジェクション対策としてのエスケープであってそれはhtmlspecialcharsの仕事ではありません。

Comments

[jetstream]

ご回答いただきありがとうございます。

[m.ts10806]

用語と意味、それぞれの対処方法は確実に抑えてくださいね。
https://www.ipa.go.jp/security/vuln/websecurity.html

Answer 3

PHPで出力・表示する際のみにhtmlspecialcharsを使用します。
通常はデータベースに格納する際は普通に入れて問題ないと思います。
（例えばjavascriptのコードがデータベースに格納されていたとしてそれは実行されませんし。）

Comments

[jetstream]

早速のご回答ありがとうございました。