【PHP】検索ボックスから「直接アクセスされたら」の条件分岐について

Question

検索ボックスをクリックした後の処理を searchbox.php に記入しているのですが、5行目の処理の意味が分かりません。

if(!isset($_POST['word'])){

この部分を「もしテキストが何も入っていなかったら」という意味だと思ったのですが、15行目の条件式がそんな役割を果たしているため違うと思いますし、searchbox.phpへ直接アクセスという意味もよく分かっていません。
ご教授いただけると幸いです。

// sideber.php

<sidebar class="sidebar" id="sidebar">
  <div class="searchbox">
    <form  method="post" action="searchbox.php">
      <input type="text"  name="word" value="" placeholder="word..." required>
      <input type="submit" name="submit" value="検索" id="search" >
      <label for="search"><i  class="fas fa-search"></i> </label>
    </form>
  </div>
</sidebar>

// searchbox.php

<?php
// searchbox.php へ直接アクセスされたらリダイレクト
if(!isset($_POST['word'])){
  header('Location:https://'.$_SERVER['HTTP_HOST'].dirname($_SERVER['PHP_SELF']).'/');
  exit();
}

// $_POST['word']で入力値を取得 文字前後の空白除去&エスケープ処理
$word = trim(htmlspecialchars($_POST['word'],ENT_QUOTES));
// 文字列の中の「　」(全角空白)を「」(何もなし)に変換
$word = str_replace("　","",$word);
// 対象文字列が何もなかったらキーワード指定なしとする
if($word === ""){
  $word = "キーワード指定なし";
}
?>

Answer 1

<?PHP
var_dump(!isset($_POST['word']));
?>
<form method="post">
<input name="word">
<input type="submit" value="send">
</form>
<form method="post">
ワードなしのpost送信
<input type="submit" value="send">
</form>

「postでwordパラメータが送られてこなければ」という意味なので空のデータでもパラメータ名が送られてくればfalseになります

Comments

[flexibler]

上記コードを実際に動かしてみて凄く理解できました！
ありがとうございます！！

Answer 2

isset()はあくまで「変数の宣言の有無」を調べるものです。
https://www.php.net/manual/ja/function.isset.php

URLをブラウザのアドレスバーに直に打った場合のリクエストメソッドは「GET」となるため、POSTは送られていません。
また、そのPHPへの直アクセス可能なURLである場合、直接ブラウザからアクセスできるので、
POSTがない→変数は宣言されていない

という意図があるのでしょう。

ただ、コメントにある「直接アクセスされたら」の対策としては不十分です。
$_SERVERのREQUEST_METHODをチェックすべきでしょうし、その後も$_POSTに直アクセスするのではなくfilter_input()を利用した方が良いでしょう。

受け取って検索に使うとしたら、画面出力しない情報にhtmlspecialchars()をかけているのはNGです。

Comments

[flexibler]

そういう意味なんですね！
だから、それだけと、リクエストメソッドの特定ができないから「REQUEST_METHOD」等を用いるのですね。
ありがとうございます！！

ちなみにですが、直接アクセスされるとどんなリスクがあるのでしょうか。
知らない人でもコードが覗けたり、書き換えられたり、あるいはウイルス面で危険だったりするのでしょうか。

[m.ts10806]

>知らない人でもコードが覗けたり

ないです。
HTML,CSS,JSなど「クライアントサイド」のコードであればブラウザから確認可能ですが、
PHPは無理です。

>書き換えられたり

ないです。

＞あるいはウイルス面で危険だったり

全くないです。

ただ、GETリクエストはURLによるリクエストで、フォームから送信したときなど、クエリストリングによりリクエストが構成されることになります。
つまり、ブックマーク可能です。リクエスト内容もURLを書き換えれば幾らでも改ざんできます。
もちろん、HTML自体、ブラウザの機能で当該クライアントのみ改ざん可能なので、適切なバリデーション（サーバーサイド）は絶対必要ですが、「直接アクセス可能な機能かどうか」でGETかPOSTか使い分けるべきかなと。
そのあたりは「GETとPOSTの違い」で調べれば解説記事はありますし、Webセキュリティ観点での記事も見つかると思います。