常連

注目の的

社会貢献

質問力

自己紹介

###商品登録データベースを作成したいと思っております。
商品画像データをデーターベースに登録したいと思い、
初心者ながらgoogleで色々調べてみたところ、
データ型を「mediumblob」にすると画像を保存できるという記事を見かけましたが、
基本的にデーターベースには画像を保存しないほうがいいというご意見もありました。
普通は画像のパスをデーターベースに保存する、という意見でした。

基本的にはどちらが良いのでしょうか？
（データーベースに負荷を与えない画像保存？）

皆様のご意見をお聞かせください。

宜しくお願い致します。

データベースに画像を保存するのはありでしょうか？

MVCなどの概念でビジネスロジックを担当する層として「Model」という層が登場しますが、なぜこの名前なのでしょうか？

個人的な印象ですがモデルは「模型」のようなニュアンスが強いと思っていて、名前だけ聞くとデータオブジェクトのような雰囲気があります

MVVMの「ViewModel」はまさにモデルっていう感じで納得できるのですが、今まで見てきたMVCやMVVMのModelはビジネスロジックを担当していたりデータストアとのやりとりを担当していることが多いように感じました

また解説書や解説サイトなどでもModelはビジネスロジックを担当する層という説明がよくでてきます

アーキテクチャ自体に疑問はないのですがなぜこの層をModelというのでしょうか？
由来をご存知の方いたら教えて下さい

なぜビジネスロジックが集まる層を「モデル（Model）」というのでしょうか？

こう書いてる人がいたので
```PHP
if($id) {
    return false;
}
retrun true;
```
else句入れてくださいってコメントしたら
else句つける派とつけない派ができてしまって
```PHP
if($id) {
    return false;
} else {
    return true;
}
```

２つの分岐が対になってるかんじがあった方が見やすいかなと思ったのですが、else句をつけない人が多いようで
PSRとかも改めて見たのですが特に言及されてることもなく、結局は好みの問題になるんでしょうか？

でもやっぱり両方が等しく起こり得ることならelse句つけた方がいいと思うのですが普通どうなんでしょうか？

else句の必要性

HTMLとPHPでメールフォームの作成を考えています。

ページ遷移に付きましては、古典的な「入力」→「確認画面ページ」→「完了ページ」想定です。

今回のフォームは下記のコード以外にもまぁまぁな個人情報を含みます。
確認画面<input type='hidden' value='<?php echo(htmlspecialchars($_POST['name'])); ?>'>のようにhiddenを使って実際の送信データにもっていくのはセキュリティ的に危険でしょうか？
危険な場合どのような対策を施せばよろしいでしょうか？

その他メールフォーム周りに関する注意点ありましたらご享受いただけたら幸いです。




```HTML
<form action='../confirm/' method="POST" class='form'>
			<label>
				<p class='cate'>お名前</p>
				<input type='text' name='name'>
			</label>
			<label>
				<p class='cate'>フリガナ</p>
				<input type='text' name='name_kana'>
			</label>
			<label>
				<p class='cate'>電話番号(ハイフンなし)</p>
				<input type='tel' name='tel'>
			</label>
			<label>
				<p class='cate'>メールアドレス</p>
       　　　　　 <input type='mail' name='mail'>
			</label>
</form>
```
```php
<form action='../finished/' method="POST" class='form'>
			<label>
				<p class='cate'>お名前</p>
				<p class='inputs'><?php echo(htmlspecialchars($_POST["name"]));?></p>
				<input type='text' name='name' value='<?php echo(htmlspecialchars($_POST["name"]));?>' hidden>
			</label>
			<label>
				<p class='cate'>フリガナ</p>
				<p class='inputs'><?php echo(htmlspecialchars($_POST["name_kana"]));?></p>
				<input type='text' name='name_kana' value='<?php echo(htmlspecialchars($_POST["name_kana"]));?>' hidden>
			</label>
			<label>
				<p class='cate'>電話番号(ハイフンなし)</p>
				<p class='inputs'>?php echo(htmlspecialchars($_POST["tel"]);?></p>
				<input type='tel' name='tel' value='<?php echo(htmlspecialchars($_POST["tel"]);?>' hidden>
			</label>
			<label>
				<p class='cate'>メールアドレス</p>
				<p class='inputs'><?php echo(htmlspecialchars($_POST["mail"]);?></p>
                <input type='mail' name='mail' value='<?php echo(htmlspecialchars($_POST["mail"]);?>' hidden>
			</label>
</form>
```

PHPメールフォームでのセキュリティについて(input type="hidden")

deteil.php（suumoさんでいう、物件詳細画面）
```HTML
<a id="favorite">お気に入りに追加</a>
```

実装したい機能はsuumoさんのお気に入り登録の部分です。
♡をクリックするとお気に入りに登録され、お気に入りに追加済みの場合にクリックするとお気に入りから外れることをやりたいです。

参考URL）
https://suumo.jp/chintai/tokyo/sc_chiyoda/jnc_000006938114/?bc=100047457965

https://teratail.com/questions/35721
こちらでも同じ質問をしたのですが、いまだ実装できず手詰まりのため再投稿です。

aタグがクリックされた場合に非同期通信を行い
お気に入りに登録されていない場合はINSERT
お気に入りに登録されている場合はDERETE

だと思うのですが、どうやって書いたら良いか、、、、
結構簡単だと書いてあるのですが、簡単にやれるものなんですかね＞＜

非同期通信でDB接続してデータを反映・削除したいです。

PHPを利用してメールを送りたくて試行錯誤しています。
ネットに情報はたくさんありましたが、特に文字化けに関することはサイトによって言っていることが違い、どれが正しいのか困惑している状況です。

表示文字に制限があるので出来るだけISO-2022-JPを使いたくないという気持ちがあり
いろいろと組み合わせ、(自身の環境でですが)試してみた結果、以下のようになりました。

問題点等ご指摘いただければ幸いです。
あと、一般的にはこうするという書き方や、ライブラリ、フレームワーク等ありましたら教えていただけますでしょうか。
よろしくお願いします。

疑問点① 「UTF-8をbase64エンコード」で送って、世間(※)のメーラーやMTAは対応しているのか
※メジャー処が対応していれば大丈夫だろうと思ってます…。
疑問点② そもそも「UTF-8をbase64エンコード」で送る場合の書き方はこれであっているのか

```PHP
<?php
mb_language("ja");
mb_internal_encoding("UTF-8");

$to = "to_address@example.com";
$from = "from_address@example.com";
$fromname = "送信者 ｱｲｳｴｵ①㋐髙";
$subject = "件名 ｱｲｳｴｵ①㋐髙";
$message = "本文 ｱｲｳｴｵ①㋐髙";

$filepath = "tmp/test.jpg";
$filename = "テスト画像.jpg";

$boundary = "__BOUNDARY__";

$body  = "";
$body .= "--$boundary\r\n";
$body .= "Content-Type: text/plain; charset=UTF-8\r\n";
$body .= "Content-Transfer-Encoding: base64\r\n";
$body .= "\r\n";
$body .= chunk_split(base64_encode($message))."\r\n";
$body .= "--$boundary\r\n";
$body .= "Content-Type: application/octet-stream; name=\"$filename\"\r\n";
$body .= "Content-Disposition: attachment; filename=\"$filename\"\r\n";
$body .= "Content-Transfer-Encoding: base64\r\n";
$body .= "\r\n";
$body .= chunk_split(base64_encode(file_get_contents($filepath)))."\r\n";
$body .= "--$boundary--\r\n";

$mail_headers  = "Content-Type: multipart/mixed; boundary=\"$boundary\"\r\n";
$mail_headers .= "Content-Transfer-Encoding: base64\r\n";
$mail_headers .= "From: =?UTF-8?B?".base64_encode($fromname)."?= <$from>";

$send = mail(
        $to,
        "=?UTF-8?B?".base64_encode($subject)."?=",
        $body,
        $mail_headers
    );

var_dump($send);
?>

```
---
実行環境

さくらインターネット上で動かしています。
PHP 5.4
OS：FreeBSD 9.1-RELEASE
Webサーバ：Apache/2.2.34

PHPでの添付メール送信＆文字化け回避について

ちょっとしたエラーなどで例外を投げていいものなのでしょうか？

例外を投げる場合、投げない場合はどのように区別すればいいのでしょうか？

例外処理は気楽に使っていいものなのでしょうか？

例外処理を利用する意味、メリットについての質問です。

言語に依存しないと思いますが、例としてPythonの例外処理でゼロ除算の例外処理を行うZeroDivisionErrorなどがあると思います。
標準入力put()で分母の数を与えるといったプログラムがあった場合、例外処理のように当該部分をtryで囲んで・・・
といった処理ではなく、if文で条件判定をし、入力されたプログラムが0であればエラーコードをprint()で表示して
強制終了など、例外処理に似たことはできると思います。

特に独自に作成した例外などは以下のように
//////////////////////////////////////////////////
｛文字列に大文字が含まれていたら例外処理をおこなうプログラム （参考）：入門Python3 P134｝

class UppercaseException(Exception):
      pass

・・・
・・・・・
・・・・・・

words = ['eeenie','meenie',''MO]
for word in words:
      if word.isupper():
         raise UppercaseException（word）

///////////////////////////////////////////////////

結局if文を用いて例外条件に当てはまる場合、raiseで例外を呼び出すという処理を行っています。
以上のことから単純にif文で当該条件の場合エラーコード生成などの何らかの処理を行えばいいのであって、
例外処理を用いる意味、メリットは少ないのかなと思ってしまいます。

現状if文で書くよりかはコードが理解しやすいといったことはあるのかなと思いますが、
それ以外でメリット、またこの場合if文では対応できない、というのはあるのでしょうか？

どなたか知識のある方、回答の方よろしくお願い致します。

例外処理を利用する意味、メリットについて質問です。

画像XSSの対策として、マジックバイトチェックがよく挙げられるのですが、
マジックバイトチェックは最初の数Byteのチェックしか行わないため、
それ以降の画像内コードにhtmlタグが紛れ込んでいたとしても、チェックに引っかかりません。

この場合のphpでの対策として、有効な方法をご教授いただけないでしょうか。
ちなみに、拡張子、Content-type、mimeタイプのチェックは既にしております。

自分では画像内コードを文字列検索する下記のような方法しか思いつけませんでした。
```
$nakami = file_get_contents($file_real);
if (strpos($nakami, 'html') !== false) {
    echo 'htmlタグが入っている不正な画像です';
}else {
    echo '正しい画像です';
}
```

画像XSSがマジックバイトチェックで防げない件について

PHP勉強中の者なのですが、ファイルアップロード時に同名ファイルが存在する場合の処理について考えています。
自分なりに調べた結果、「同じ名前のファイルが存在するときは番号（連番）を付ける」と書いてあるサイトを見つけたのですが、書いてあるｺｰﾄﾞが難しく、理解することができませんでした。その時のコードはこちらになります。
```php
<?php
$filepath = unique_filename(dirname(__FILE__). '/' . 'test.txt');
file_put_contents($filepath, "sample");
echo $filepath;
 
 
function unique_filename($org_path, $num=0){
     
    if( $num > 0){
        $info = pathinfo($org_path);
        $path = $info['dirname'] . "/" . $info['filename'] . "_" . $num;
        if(isset($info['extension'])) $path .= "." . $info['extension'];
    } else {
        $path = $org_path;
    }
     
    if(file_exists($path)){
        $num++;
        return unique_filename($org_path, $num);
    } else {
        return $path;
    }
}
```
僕の作成した、ファイルアップロード時の処理については以下になります。
```html
<form method="post" enctype="multipart/form-data">
  <div><input type="file"name="new_img"></div>
  <div><input type="submit" value="送信"></div>
</form>
```
```php
$tmp_file = $_FILES['new_img']['tmp_name']; 
$file_name = 'img/' . $_FILES['new_img']['name']; 
if (is_uploaded_file($tmp_file) === TRUE){
    if ( move_uploaded_file($tmp_file,$file_name ) === TRUE){//同名ファイルがアップロードされた場合の処理
        if (file_exists($faile_name)) {
          $error_msg = '同名のファイルがアップロードされています。';
          }
      //MIMEタイプ指定
      $finfo = finfo_open(FILEINFO_MIME_TYPE);
      $mime_type = finfo_file($finfo, $file_name);
      finfo_close($finfo);         
                   
      if(strpos($mime_type,'jpeg')||strpos($mime_type,'jpg')||strpos($mime_type,'png') === FALSE){
         unset($file_name);
         $error_msg[] = 'ファイル形式が異なります。画像ファイルはJPEG又はPNGのみ利用可能です。';
      }
  } else {
     $err_msg[] = 'ファイルがアップロードできません';
        }
 
} else {
    $err_msg[] = 'ファイルが選択されていません';
}
```
某サイトのコードの、unique_filename関数の中身に関してはどこでどのような処理が行われてどうなっているかが、全くと言っていい程分からない状態です...
僕のコードに何か付け加える形でできるのならば、そうしたいと考えております。
どなたか簡単にご説明くださる方いましたら、教えて下さい...

[PHP]ファイルアップロード時に同名ファイルが存在する場合の処理について

PHPのPDOで、名前付けされたプレースホルダを利用しています。

```PHP

   $ShopID= "1";
   $sql ="SELECT 
	, ( Select Count(*) From Answer Where ShopID=:ShopID1 and Answer=1) as '1'
	, ( Select Count(*) From Answer Where ShopID=:ShopID2 and Answer=2) as '2'
       	 FROM Answer" ;
   $arrPrepare = array(":ShopID1" =>$ShopID,":ShopID1" =>$ShopID);
   $pdo->prepare($sql);
   ＄pdo->execute($arrPrepare);
```


↑の例で、「:ShopID1」「:ShopID2」は、実は同じIDを与えたいのですが、
この場合もプレースホルダには、個別の名前を付けて、複数の要素に分けて指定しなければならないでしょうか？

同じIDを与えるのであれば、一括で指定する方法ってあったりするのでしょうか？

PHPのPDOプレースホルダで

php勉強中です！！！

![イメージ説明](59166ac0876a5ccd30962b57e550a4d0.png)

**↓↓分かっていること↓↓**
①はPDOクラスをインスタンス化して、PDOオブジェクトを作っている。
②はPDOクラスのprepareメゾットを実行している。

**↓↓疑問点↓↓**
③、④、⑤はPDOStatementクラスのメゾット！
だけどインスタンス化せずに使っている！
なぜ？？？

が質問となります。
すみませんが、よろしくお願いします。

PDOクラス と PDOStatementクラス

ここではPHP7を例にとって書いていきますが、RubyやPythonなどの言語をやっている方でもどう考えるかお聞きしたいです。
数値を任意の情報に変換するための連想配列があるとします。
```php
$kinds = [
    1 => "man",
    2 => "dog",
    3 => "cat",
];
```

下記のように使うことを考えています。
```php
$kind = $kinds[$num];
```

この連想配列を任意のスクリプトファイルに入れて呼び出せるようにしておきたい場合、どのように置いておくでしょうか。

身近なところで関数に入れているプロジェクトがありました。
```php
function getKinds() {
    $kinds = [
        1 => "man",
        2 => "dog",
        3 => "cat",
    ];
    return $kinds;
}
// 使用例
$kinds = getKinds();
$kind = $kinds[$num];
```

使うたびに関数呼び出しをするのが合理的ではないと思います。


下記のように、名前のバッティングを起こさないように、任意のクラスのメンバにするのが妥当だと考えています。
```php
class Util {
    public $kinds = [
        1 => "man",
        2 => "dog",
        3 => "cat",
    ];
}
```

妥当な連想配列の置き方

モックとスタブの違いについて教えてください。職場で、スタブを使って意図的に画面上でエラーを発生させ、それをフィルタリングできているかどうかのテストをしたのですが、スタブが何かわかってなかったので、いまいちピンときませんでした。

また、モックはexpect()やwillでテストの条件を決めつつ、任意のクラスをテストするオブジェクトという認識なのです。

しかし、他の解説をみると、時間やOSなど環境に応じて起こる差異から同様の結果が得られない問題をモックオブジェクトを作ることで解消できるみたいな記事があったので、本物そっくりのオブジェクトの特定の機能だけ抜粋したものがモックなのでは？とも思えるのですが、どちらの解釈が合っているのでしょうか。

モックとスタブの違いについて

お世話になります。PHPとMySQLで、オリジナルの「いいねボタン」の実装を進めているのですが、ある方から以下のような指摘を頂戴し、皆様の意見を伺えればと、質問させて頂きました。

会員登録制のサイトで、会員のみが押せるボタンであれば良いが、非会員でも押せる場合、悪意あるユーザがツールを使った場合、秒間1000回とかおされるとDBかサーバーが落ちてしまう。なので非会員でも押せるようにしたいのであれば、DBではなくファイルで管理するようにした方が数倍も負荷が抑えられる。

というものでした。
データは、１いいね毎に行数が増えるものではなく、数値を書き換えるもの（押されたとき「４」いいねだったら、「５」に書き換えるもの）ですが、この程度のデータ管理であればやはりファイルで行った方が宜しいのでしょうか？

また、今回の件含め、ファイルでデータを監視瑠つ際のメリット・デメリットもアドバイス頂けると助かります。

DBが便利なので、つい使いたがる節があるもので・・・
お忙しい中恐縮ですがアドバイスのほど、よろしくお願いいたします。

データベースvsファイル データ管理について

###前提・実現したいこと
PHPであるユーザーがアップロードしたファイルを他人がダウンロードできるWebアプリを作っています。
拡張子はpdf,xlsm,docxあたりを対象として、日本語もOKにしたいです。

###発生している問題・エラーメッセージ
問題になっているのは、日本語名のファイルをアップロードするとファイルが壊れ、文字化けしてしまうことです。詳細として

・日本語名のファイルをアップロードすると0バイトとなり開くことができない
・ダウンロードログとしてMysqlにダウンロードされたファイル名を挿入していますが、ファイル名が文字化けしてしまう。
この2点になります。

![ファイル破損](d0948fcc77c0331bc4a85eff86c808de.png)

![ダウンロードログ文字化け](e55ab422d81446565eb3114f1bf2cb43.png)


###該当のソースコード
こちらがアップロードのソースコード。
プログラムの都合上、一度自前の一時フォルダに移動→本来の保管場所という方法をとっています。

まずはユーザーから自前の一時フォルダへのアップロード
```php
<?php
session_start();
$uploaddir = $_SESSION['uploaddir'];//前ページで決めたディレクトリを引き継ぎ(root/UID/samba/nsr)
$ds = DIRECTORY_SEPARATOR;  //スラッシュの変数
require('dbc.php');
$cookie = $_COOKIE['cookie'];
$stmt = $pdo -> prepare("SELECT * FROM user WHERE cookie=:cookie");
$stmt -> bindValue(':cookie', $cookie, PDO::PARAM_STR);
$stmt -> execute();
$udata = $stmt -> fetch();
$pdo = NULL;

if (!empty($_FILES)) {//アップロードファイルがある時の処理

        $tempFile = $_FILES['file']['tmp_name'];          //3
       //一時保管ディレクトリ
        $tmpdir = '/home/tmp/' . $udata['uid'];
        //ディレクトリの存在確認
        if(!file_exists($tmpdir)){
          mkdir($tmpdir, 0700);
        }
        $_SESSION['tmpdir'] = $tmpdir;
        $tmpxml =  $tmpdir . '/' . $_FILES['file']['name'];  //5
        $_SESSION['tmpxml'] = $tmpxml;
        move_uploaded_file($tempFile,$tmpxml);

}
?>
```

次に一時フォルダから本フォルダへ
```php
<?php
require('../library/functions.php');//共通宣言、関数呼び出し
require('../dbc.php');//データベース接続
$cookie = $_COOKIE['cookie'];
$stmt = $pdo -> prepare("SELECT * FROM user WHERE cookie=:cookie");
$stmt -> bindValue(':cookie', $cookie, PDO::PARAM_STR);
$stmt -> execute();
$udata = $stmt -> fetch();
$pdo = NULL;
$tmppass = '/home/tmp/' . $udata['uid'] . '/';
//ディレクトリの中身を検索
$dir_content = scandir($tmppass, 1);//ディレクトリ内検索
$loop = count($dir_content);
$loop = $loop - 2;
//アップロードボタンが押されたら
if(isset($_POST['upload'])){
    $uploaddir = $_SESSION['uploaddir'];//アップロードフォルダを定義
    $handle = opendir( $tmppass ) ;//tmpフォルダの中身をすべて解析
    while (false !== ($entry = readdir($handle))) {
        if ($entry != "." && $entry != "..") {
            //tmpディレクトリにファイルがある限りユーザーディレクトリへ移動する
            rename($tmppass . '/' . $entry, $uploaddir . '/' . $entry);
        }
    }
    unlink_dir($tmppass);
    header("Location: /parts/regist_fin.php");
    exit();
}
include($_SERVER['DOCUMENT_ROOT'] . '/parts/head.php');
?>
  </head>
  <body class="index">
    <h1>DOC-FINDER-V1</h1>
    <div class="container">
		<h2>アップロードファイルの確認</h2>
		<p>アップロードするファイルに間違いがなければアップロードボタンを押してください。</p>
        <?php
            $i = 0;
            while ($i < $loop) {
                echo '<p>' . $dir_content["$i"] . '</p>';
                $i++;
            }//ファイルの数だけループ
        ?>
        <div class='row'>
    		<div class="col-md-offset-4 col-md-4">
                <form action="" method="post"  enctype='multipart/form-data' multiple><input class="btn btn-warning" type="submit" name="upload" value="アップロード"></form>
            </div>
            <div class="col-md-2">
                <input type="button" class="btn btn-danger" value="キャンセル" onClick="location.href='/parts/up_cancel.php'">
    		</div>
        </div>
   	</div>
  </body>
```
ダウンロードロジック
```php
<?php
session_start();
require('dbc.php');
$cookie = $_COOKIE['cookie'];
$stmt = $pdo -> prepare("SELECT * FROM user WHERE cookie=:cookie");
$stmt -> bindValue(':cookie', $cookie, PDO::PARAM_STR);
$stmt -> execute();
$udata = $stmt -> fetch();
$pdo = NULL;

$uid = $udata['uid'];
$recordnumber = $_SESSION['id'];

$dir = $_SESSION['dir'];
$url = $_SERVER["REQUEST_URI"];
$keys = parse_url($url); //パース処理
$path = explode("/", $keys['path']); //分割処理
$file = end($path); //最後の要素を取得
$file = mb_convert_encoding($file, "UTF-8", "auto");
$fpath = $dir . '/' . $file;
header('Content-Length: '.filesize($fpath));
header("Content-type: application/octet-stream");
header('Content-disposition: attachment; filename="'.$file.'"');
readfile($fpath);
//ダウンロードテーブルに挿入
require('dbc.php');
$stmt = $pdo -> prepare("INSERT INTO download(uid,file,recordnumber) VALUES(:uid,:file,:recordnumber)");
$stmt -> bindValue(':uid', $uid, PDO::PARAM_STR);
$stmt -> bindValue(':file', $file, PDO::PARAM_STR);
$stmt -> bindValue(':recordnumber', $recordnumber, PDO::PARAM_INT);
$stmt -> execute();
$pdo = NULL;
?>

```

###試したこと
・utf-8への変換
・日本語、アルファベットの切り分け→日本語ファイルのみ破損、英語ファイルは文字化け、破損しない

###補足情報(言語/FW/ツール等のバージョンなど)
・php 7.0.19
・CentOS6.8
開発環境はローカル上のVMに構築しています。

以上になります。原因がわからなくて困っています。
何卒よろしくお願いいたします。

phpで日本語名のファイルをアップロードするとファイルが壊れる

```php
$new_img = md5(uniqid(mt_rand(), true)).'.'.$extension;
move_uploaded_file($img['tmp_name'], './img/'.$new_img);
```

例えば上のように画像名を乱数にしてサーバ上の公開ディレクトリに移動したとします。
移動した画像ファイルをブラウザで表示すると、ディベロッパーツールなどで乱数化されたファイル名を確認することができますし、公開されてしまうのだから元のファイル名のままでいいのでは？と思ってしまいます。

おそらくセキュリティ的な面で利点があって、画像名を変更するのだと思いますが、どういった攻撃に対して有効なのかが分かりません。

もし、画像名の変更理由が分かる方がおりましたらぜひともご教授ください。

アップロード時に画像ファイルの名前を変更するセキュリティ的な理由が知りたい

練習用に書籍を管理するアプリケーションをPHP、MariaDBで作成しています。
CSRF対策を施す（トークンを埋め込む）場所についてアドバイスお願いします。

構成は下記。

①login.php
id、パスワード入力画面
セッションスタート、SESSIONにtokenを設定、hiddenでtokenをPOST送信。
↓
②login_check.php
POSTとSESSIONのtokenを照合。ID、パスワードの照合。パスワードが正しい場合は$_SESSION['login']=1を付与し、以後の全てのページでログイン状態の判別に使用。
照合し正しければログイン実行し③へ。
↓
③list.php
情報を修正する書籍の一覧。書籍を選択し④へ。
session_regenerate_id(true)でセッションIDの変更。
↓
④edit.php
変更する情報の入力画面。
変更する情報を⑤へPOST送信。
↓
⑤edit_check.php
入力値の検証、正しく入力されていればhiddenで入力値を⑥へPOST送信。
↓
⑥edit_done.php
データベースの更新。

書籍を登録・削除する機能なども作っていますが、今回は上記の流れのみでの話とします。

CSRF対策を施すのは重要な処理を行う部分のみという原則で考えると、重要な処理は
②のログインの実行
⑥のデータベース更新
だと思います。

⑥についてはすでにログイン状態であり、②以降で$_SESSION['login']によるログイン状態の判別、③でセッションIDの更新をしていることから第三者が編集処理をすることがないと判断しCSRF対策を行っていません。

こういった判断で①のみにトークンを埋め込んでいますが、認識は正しいのでしょうか。
⑥に対してもCSRF対策を施した（⑤にトークンを埋め込んだ）方がいいのでしょうか。

アドバイスお願いします。

【PHP】CSRF対策を施す（トークンを埋め込む）場所について

下記のコードは、画像フォームで選択した時に、バイト数が大きい画像の場合は、送信できないようにしています。やり方としては、送信ボタンにstyle="display: none"をつけて、それを画像選択時のサイズの取得により、隠したり、表したりしています。ただ問題がありまして、GoogleChrome F12キーより、コードを確認し、style="display: none"を消してしまえば、送信ボタンが表示され、その時に、大きなサイズのファイルでも送信できてしまいます。解決策として思いつくことは、やはり、送信先でのPHP側で処理しか思い浮かばず、できるだけファイル遷移しないで、完結したいと思いますが可能なのでしょうか? 


```ここに言語を入力
<!DOCTYPE html>
<html lang="ja">
<head>
    <meta charset="utf-8">
    <title>TEST</title>

   <script src="https://ajax.googleapis.com/ajax/libs/jquery/3.2.1/jquery.min.js"></script>


</head>
<body>
<form action="data.php" method="post" enctype="multipart/form-data">
    <input type="file" id="file" name="img" accept="image/*">
    <input type="submit" name="send" value="送信" style="display: none";><div id="alert"></div>
</form>

<script type="text/javascript">
$(function () {

  $('input[type=file]').bind('change', function() {
     var size = this.files[0].size;
    $('input[type=submit]').hide();
  if(1048576 < size){
    $('#alert').html('イメージサイズが多きすぎです (' + size + 'バイト)' );
  }else{
    $('input[type=submit]').show();
    $('#alert').html('');
  }
  }

);

 });
</script>
</body>
</html>
```

フォームより画像選択した時のサイズのバリテーションについて

お世話になります。
博識なエンジニアの皆様にお伺いいたしたく、
ご教授いただけませんでしょうか。

状況としては、WordPressでお客様のサイトを構築し、
最後に脆弱性検査なるものを受けましたところ、
高判定が出てしまいました。

いくつかある中で、以下の重大なものについては
直さなくはならず、ものすごい長いレポートを
頂いたのですが、ネットで調べても全く意味が分かりません。

・クロスサイト・スクリプティング
・フレームからのフィッシング

どのような情報をこちらに書いて、
何をすべきかが全く分からないでおります。

プラグインなどが悪い、ということでしょうか？
もしくはプラグインで改善することはできないのでしょうか？

エラー？内容ですが、以下のような感じで出ています。
＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊
CVSS スコア:	7.5
URL: ＊＊＊すみません割愛させていただきます。＊＊＊
エンティティー:(Page)
リスク:	
ハッカーが正規のユーザーになりすまし、ユーザーのレコードを表示または改変したり、ユーザーとしてトランザクションを実行するのに使用することができる、カスタマー・セッションおよび Cookie を盗み出したり操作することができる可能性があります
原因: ユーザーの入力において、有害文字の除去が適切に行われませんでした
修正: 有害な文字のインジェクションに対して考えられる解決策を確認します

＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊

意味が全くわからないことばかりでして、
脆弱性についてご教授ならびに上記課題につきまして
ご指南をいただけないでしょうか。

お忙しい最中大変恐縮いたしますが、
何卒よろしくお願い申し上げます。