HTMLの制限とPHPのバリデーションについて

Question

簡単なバリデーションを実装したのですが、HTMLでの

予算：<input type="number" min="1" max="9999" name="budget">円

この制限？が働いてここでは例えば予算を10000円としたらオレンジ色でその数値が入力できない旨のエラーが出るのですが、同じくphpの方で正規表現で表している10000円が入力されたときにバリデーションが実行されるものとの判別が出来ません。この判別法が知りたく質問させていただきました。

ディレクトリ構成はC:\xampp\varidation.php,C:\xampp\htdocs\Recipes\add.phpとなっていて、varidation.phpはドキュメントルートより上の階層に作成しています。
varidation.php↓

<?php
if(!preg_match('/\A[[:^cntrl:]]{1,100}+\z/u',$_POST['recipe_name'])){
    throw new Exception('料理名を正しく入力してください。');
}
if(!preg_match('/\A[123]\z/',$_POST['category'])){
    throw new Exception('カテゴリを正しく入力してください。');
}
if(!preg_match('/\A[123]\z/',$_POST['difficulty'])){
    throw new Exception('難易度を正しく入力してください。');
}
if(!preg_match('/\A[0-9]{1,4}+\z/',$_POST['budget'])){
    throw new Exception('予算を正しく入力してください。');
}
if(!preg_match('/\A[\r\n[:^cntrl:]]{1,200}+\z/u',$_POST['howto'])){
    throw new Exception('作り方を正しく入力してください。');
}

 ?>

form.html↓

<form method="post" action="add.php">
      料理名：<input type="text" name="recipe_name" required><br>
      カテゴリ：
      <select name="category">
        <option value="">選択してください</option>
        <option value="1">和食</option>
        <option value="2">中華</option>
        <option value="3">洋食</option>
      </select>
      <br>
      難易度：
      <input type="radio" name="difficulty" value="1">簡単
      <input type="radio" name="difficulty" value="2" checked>普通
      <input type="radio" name="difficulty" value="3">難しい
      <br>
      予算：<input type="number" min="1" max="9999" name="budget">円
      <br>
      作り方：
      <textarea name="howto" cols="40" rows="4" maxlength="150"></textarea>
      <br>
      <div class="d-flex justify-content-center">
      <input type="submit" value="送信">
      </form>

add.php↓

<?php
//$user = "";

$user = "Heroku";
//$pass = "";
$pass = "Heroku";



try{
  include_once '\xampp\varidation.php';
  $dbh = new PDO('mysql:host=heroku;dbname=heroku;charset=utf8mb4',
  $user,$pass);
  $dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES,false);
  $dbh->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);
  
  echo "の登録が完了しました。<br>";
  echo "<a href='index.php'>トップページへ戻る</a>";
} catch (Exception $e) {
    echo "エラー発生：" . htmlspecialchars($e->getMessage(), ENT_QUOTES, 'UTF-8') . "<br>";
    die();
}


 ?>

実行環境：Heroku
データベース接続先：clearDB

参照サイトhttps://book.impress.co.jp/books/1116101152

Comments

[maisumakun]

> 判別が出来ません。

「判別」とは、どういう意味合いでしょうか？

[ranerane0101]

HTMLのバリデーションが働いてerrorなのか、PHPのバリデーションが働いてerrorなのか、です。どちらであってもエラーは吐くので、エラーの出所が知りたかったということです

Answer 1

とりあえずHTMLでバリデーション

予算：<input type="number" min="1" max="9999" name="budget" required>円<br>

その上でPHPでPOST/GETのバリデーションはfilter_inputを利用します
（上記でやると入力制限がかかるのでフリー入力できるinputにしておきます）

<?PHP
$budget=filter_input(INPUT_POST,"budget",FILTER_VALIDATE_INT,["options"=>["min_range"=>1,"max_range"=>9999]]);
if(!is_null($budget)){
  var_dump($budget);
}
?>
<form method="post">
予算(テスト用)：<input type="text" name="budget">円<br>
<input type="submit" value="送信">
</form>

Comments

[ranerane0101]

HTMLではrequiredがありましたね、、覚えていませんでした。filter_inputはadd.phpで修正する形でよろしいのでしょうか？
<<（上記でやると入力制限がかかるのでフリー入力できるinputにしておきます）
これはこのやり方であればHTMLのバリデーションが無効になってPHPのバリデーションが優位になりこっちが働くということですか？前回ほかの質問で何が何だか分からなくなり解答くださっていたのに返せなくて申し訳ありませんでした。

Answer 2

HTMLのバリデーションが働いてerrorなのか、PHPのバリデーションが働いてerrorなのか、です。どちらであってもエラーは吐くので、エラーの出所が知りたかったということです

（Ajaxで動的にPHPと通信する状況でなければ）フォーム送信前に発生するのがHTMLでのバリデーションエラー、フォームを送信して再表示される画面に出るのがPHPでのエラーです。

Comments

[ranerane0101]

ありがとうございます！質問で求めていたこと直接の解答となっているためベストアンサーにさせていただきます。補足のajaxで～も解答の例外も示していただき大変親切で助かりました。ありがとうございました。

Answer 3

PHPのほうだけで全てのバリデーションを行う。

htmlは改ざん可能なのでセキュリティ観点ではむしろ不要です。

ただ、PHP側の実装でバリデーションによって例外投げるのは微妙だと思います。想定されるものなので。

蛇足。
\xampp
と環境依存する名前をそのまま書くのはやめましょう。
マジック定数__DIR__など使えば相対パス的な絶対パスが書けるので（ちょっと語弊があるかも）依存はなくせます。

Comments

[ranerane0101]

たしかにクロスサイトスクリプティングとかSQLインジェクションとか改ざん関連で聞いたことありますし、HTMLでのバリデーションは気にしないというか信用しないほうがいいですね。定数__DIR__は片方_これが1つずつに見えるのですが_二つ書くのであってるんでしょうか？少し自信なかったもので・・・

[m.ts10806]

PHPマニュアルに載ってる既定の定数なのでPHPマニュアル確認してください。

[maisumakun]

> htmlは改ざん可能なのでむしろ不要です。

たしかにセキュリティ的には無意味ですが、フォーム送信前にチェックが入るので、UX向上という観点では有用です。

[m.ts10806]

>たしかにセキュリティ的には無意味ですが、フォーム送信前にチェックが入るので、UX向上という観点では有用です。

ご指摘ありがとうございます。
要件次第かもしれません。「サーバーサイドでも同じチェックをすること」が前提となるのでそれならサーバーサイドだけでいいという考え方もあるとは思います。

[ranerane0101]

>PHPマニュアルに載ってる既定の定数なのでPHPマニュアル確認してください。
リンク張っていただいていましたね。ありがとうございます。確認できました。

>たしかにセキュリティ的には無意味ですが、フォーム送信前にチェックが入るので、UX向上という観点では有用です。
UXの観点も普段考えていなかったので参考になります。

お二方ありがとうございました。