PHPでのエスケープ処理について

Question

文字列のPOSTを受け取る場合は
$Mojiretu= htmlspecialchars($_POST['Mojiretu'],ENT_QUOTES,"UTF-8");

などで対応可能だと思うのですが

例えば
PostでFILESを受取りたい場合は

$DST_1 = htmlspecialchars($_FILES["DST_1"], ENT_QUOTES, "UTF-8");
と記載するとエラーになるのですがこれって
FILESを受け取る場合はエスケープ処理は不要という事でしょうか

Comments

[javahack]

文章が途切れてしまっているので、修正して質問を完成させましょう。
現時点で言えることはhtmlspecialchars()の使い方を間違っています。
POSTされたデータをエスケープするために使うものではありません。

Answer 1

$_FILES["DST_1"]

そもそもこの参照の仕方で得られるのは文字列ではないので。
このコードで起きるエラーに書いてある通り配列に対しては使えない。

既に指摘にあるようにPOSTされた情報をエスケープするためではなく、
ブラウザ表示時にXSS対策の一環としてエスケープを行うので、
リクエストを受け取る・DBに保存するときには使わない。

Comments

[nguyenseiji]

お世話になっております

なるほどですね、、

対策としては

ブラウザ表示時対策 -> htmlspecialchars
DBの操作対策 -> sqlインジェクションを使用するという認識ですね

ありがとうございました。

[m.ts10806]

＞sqlインジェクションを使用する

SQLインジェクションはあくまで驚異の名称なので「使用する」となると「攻撃する」という意味合いになりますが。
過去質問ややりとりから見るに、用語への理解が正しくないことがあなたの根本的な問題に思います。

[m.ts10806]

何の音さたもなく無言で解決済みとされて戸惑っています。
https://teratail.com/help/question-tips#questionTips42