常連

注目の的

社会貢献

質問力

さくらのレンタルサーバ スタンダードで，[さくらのレンタルサーバにCakePHP3を導入](https://moshimore.jp/knowledge/2016/08/09/sakura_server_cakephp3/)を参考にしてcakephp3をインストールしようと思っています．
しかし，「10.CakePHPプロジェクトを作成」の時点で以下のエラーが出てしまっています．
icuのバージョンを最新のもの(icu4c-58_2-src.tgz)にしても変わりません．

どのような設定が抜けているか，何が必要かなどをご教授願います．

```
[DOMAIN@wwwXXX ~/project]$ php composer.phar create-project --prefer-dist cakephp/app PROJECTNAME
Installing cakephp/app (3.4.0)
  - Installing cakephp/app (3.4.0) Loading from cache
Created project in PROJECTNAME
Loading composer repositories with package information
Updating dependencies (including require-dev)
Your requirements could not be resolved to an installable set of packages.

  Problem 1
    - cakephp/cakephp 3.4.1 requires lib-icu >=4.8 -> the requested linked library icu has the wrong version installed or is missing from your system, make sure to have the extension providing it.
    - cakephp/cakephp 3.4.0 requires lib-icu >=4.8 -> the requested linked library icu has the wrong version installed or is missing from your system, make sure to have the extension providing it.
    - Installation request for cakephp/cakephp 3.4.* -> satisfiable by cakephp/cakephp[3.4.0, 3.4.1].
```
icuライブラリの gmake installした結果が以下です．
最終的にError 4やError 2とあるようです．
何処かにエラーメッセージがあるということでしょうか？
実行結果を以下のURLに記述しました．
[実行結果](https://gist.github.com/massy7/44e80aabddf9b515719c62131a878e8c)

(文字数制限で全ては載せられません)
```
$ gmake install
〜〜〜
gmake[1]: *** [out/tmp/icudata.lst] Error 4
gmake[1]: Leaving directory `/home/DOMAIN/local/src/icu/source/data'
gmake: *** [install-recursive] Error 2
```

さくらのレンタルサーバにcakephp3をインストールしたい

こんばんは、夜遅くに失礼いたします。

今独学でPHPを勉強しています。基本的な文法は理解し、リファレンス見ながらであれば、コードも読めます。

しかし、「自分で何か作る」と言う事を経験したく、会員制WEBサービスを作りたいなと考えています。

【現状】
HTML5,CSS3,PHP,SQL(Access, Oracle)辺りの基礎知識はあります。SQLはある程度組めます。
PHPについては、フレームワークは良くわかっておりません。

一応現在はPHP+MySQLの教本でMySQLの勉強もしています。

この本を学び終わった段階として、次何を学ぶべきか考えていますが、良く分かっていません。

個人的には、JavaScriptとJQueryをやってみようかなと考えています。

しかし、その次は何なんだろうか。まだ必要な言語はあるのか。良くわかっておりません。

サーバはレンタルする予定です。ドメインも借りる予定です。

そこでお願いしたいのですが、会員制WEBサービスを作るにあたって必要な知識は何でしょうか？
下記２項目に分けて回答頂けると、非常に有難いです。

【必要な言語】
例：NodeJS,AngularJS(実体が何なのか不明な所があるので、適当にあげてみました。)
PHPのフレームワークなど

【その他知識】
例：セキュリティの知識、サーバの知識、SQL設計

などなど

自分の例とダブっても構いませんので、皆さんが考える「必要な知識」を教えてください。

★★★公開して実際に利用して頂く事を目標に作る予定です★★★
収益化目的や、多くの人に使ってもらうのではなく、一般の人が普通のWEBサービスを利用するのと
同じように利用してもらえる事が目的です。そこで「不便が無いようなWEBサイト」であったり、
「個人情報」をしっかり管理できるWEBサイトであったりする必要かなと漠然と考えています。

お勧めの書籍等もあれば、是非参考にさせていただけると嬉しいです。

ご回答お待ちしております。

素人が一人で会員制WEBサービスを作るに当たって必要な知識

### 前提・実現したいこと

自作でSNSを開発したいと考えています。TwitterやFacebookのようにスマホからも利用できるアプリケーションも開発したいと考えています。勉強のためにもSNSを作成するサービスのようなものは利用せずに可能な限り自作したいと考えています。

### 発生している問題・エラーメッセージ

プログラミングはSwiftでネイティブアプリを作ったことがある程度なので、全く何から手をつければいいかわからず困っています。どのような手順で開発していけばいいのか、またオススメの書籍やサイトがあればご教授お願いします。

自作SNS開発について

phpの基礎を学習しましたが、webアプリを作っていく際はフレームワークを使うと便利だと知りました。
ですがフレームワークは初心者にはブラックボックスの部分が多いと感じます。

そこで、軽量な？自作フレームワークを作ってみるというのは、ある程度適切な訓練方法でしょうか？？

自作フレームワークを作るという学習方法は、フレームワークの理解に役立ちますでしょうか

いつもお世話になります。

ログイン型の小規模WEBサービスを作りたいと思っています。

ユーザーは特定少数(100人以下)なので、不特定多数に公開するサービスほどセキュリティに神経質になる必要性は少ないのかもしれないですが、それでもやはり脆弱の温床になることは避けたいと思っています。

一度、そのようなシステムをPerlで作ったことはあります。(100時間～くらいかかりました)
そのときはライブラリを極力使わず、可能な限り自分でコーディングしました。
(使ったのは、HTMKL::Templateと文字コード変換系ぐらい)
よくPerlではCGI.pmを使うようですが、「自分でできる部分はライブラリを使わない」をモットーにがんばってました･･･

別にそのときのシステムに不満があるわけではないのですが、そのときはDBを使わず、すべてテキストファイルにさまざまな情報を保存していました。(ユーザーの情報を)
今回、MySQLを使ってみようと思っているのですが、「自作のログインシステムは脆弱性の温床になる」という記事を見かけ躊躇しております。

どうしても自分で把握できない部分(具体的にはライブラリやDBアクセス)への攻撃が想像つきません。

大量の個人情報を扱う、ということはないのですが、やはりこの一言が気になってしまいました。
仮にCGIに脆弱性がなくてもOSの設定に脆弱性があったら元も子もないと思います。

まとめると
**・可能な限り外部ライブラリを使わずに自作したい**
**・ログインシステムは自作してもよいのか(ダメならオープンソース等教えてください)**
**・脆弱性を生まないためにはどうすればよいのか(参考サイト/書籍を教えてください)**
このあたりについて皆様の意見をいただけますと幸いです。
(OSはUbuntuを想定しています)

---
**以下指摘がありましたので別の質問として投稿させていただきます**
**既に回答くださった方ありがとうございます。今後は別ｽﾚでお願いいたします**

また、今回の件に限らず、攻撃に対する対策というものがいまいちよくわかっていません。
自宅サーバーを持ってはいますが、ほとんどのソフトをデフォルト設定で使っているような状態です。
(せいぜいデフォルトのポート番号を変更する程度)
(SSH、FTP、HTTP、ファイル共有(Localで使用)、無線LANのAP、ゲーム鯖(Minecraft)等)
どれも不特定多数を相手にするものではありませんが、インターネットからアクセスできる以上、最低限のセキュリティ対策はしたいと思っています。(盗まれて困る情報は皆無ですが、踏み台にされるのが怖い)

攻撃に対する対策について詳しいサイト等ありましたら教えていただけますと幸いです。
(かならずこれは読むべき!!!という書籍がありましたらあわせて紹介していただけると幸いです)





また、今回の件に限らず、攻撃に対する対策というものがいまいちよくわかっていません。
自宅サーバーを持ってはいますが、ほとんどのソフトをデフォルト設定で使っているような状態です。
(せいぜいデフォルトのポート番号を変更する程度)

攻撃に対する対策について詳しいサイト等ありましたら教えていただけますと幸いです。
(絶対にこれがいい!というような書籍がありましたらあわせて紹介していただけると幸いです)

ログインシステム(WEB)　自作?危険?セキュリティ対策は?

テラテイルのようなQ&Aサイトの構築を目指しています。
現在、XAMPPを利用して試作品を作っています。

質問内容なのですが、テラテイルのように質問ごとに掲示板を表示したい場合、どのようにプログラミングすればよいのでしょうか？

Q&Aサイトの構築について

現在不動産の賃貸・売買のサイトをLAMP環境で構築しており、
HOMESやSUUMOのような検索画面の実装をしております。

http://www.homes.co.jp/mansion/tokyo/station/
http://suumo.jp/ms/chuko/tokyo/

絞込検索をするとリアルタイムで件数が反映されるようになっているのですが、
物件データが100万件程度あり、検索をするとそれなりに負荷がかかってしまいそうです。

現在検討しているのは、絞込条件の属性をもたせたデータを別のNoSQLなどのDBに
別途保持させて、そこを検索させるなどの手法もあるかと思って入るのですが、
なにが最適かアドバイスいただければと存じます。

また、物件データの追加・削除が不定期で行われるので、キャッシュの利用は難しいかもしれません。

よろしくお願いいたします。

大量にある情報のリアルタイム絞込検索について

入力画面を作成しているのですが、都道府県に連動した区市町村の入力をしたいです。都道府県を選択した後に、選択した都道府県の区市町村を表示してselectで選択をする形を考えています。
開発環境angularを使っています。Javascriptでもかまいません。
できるだけ簡易に実装できればありがたいです。どなたか知っている方ご教授いただければと思います。

現状では下記のURLのライブラリの使用を検討しています。
http://www.kawa.net/works/ajax/addrajax/addrajax.html

入力画面で都道府県に連動した区市町村の入力をしたいのですが、いいライブラリありませんか？

1.都道府県をプルダウンで表示
2.都道府県選択
3.選択された都道府県と関連する市区町村を取得（DB）
4.市区町村をプルダウンで表示
5.市区町村選択

都道府県をデータベースから引っ張ってきて、表示するところまでできています。
3〜ができていません。

都道府県が選択された時に
市区町村の部分だけ、SQL文をリロードできればうまくいくと踏んでいますが
やり方もわからず、また適切かどうかもわかりません。

完成イメージとしては、ピジョンインフォさんの都道府県部分の挙動です。
都道府県を入れた時に、市区町村が変わっています。
https://pigeon.info/regist/input.cgi

どうぞ、よろしくお願いします。

都道府県を選択後、都道府県に対応する市区町村をデータベースから引っ張ってくる

例えばセレクトボックスで大阪をセレクトすると次のセレクトボックスが大阪の市区町村に、
京都を選択すると京都の市区町村が選べるようにするにはどうしたらいいのでしょうか？

PHPです

PHPで大阪をセレクトするとその市町村が表示されるようにする

ログイン認証無しの一般的なメールフォーム等の入力、確認、完了ページをセッションで管理する場合についてお聞きしたいので教えていただけないでしょうか。

セッションＩＤの保存にクッキーを使用しているのですが、


１ どのタイミングでセッションを再生成すればよいか。

現在は入力フォームに入った段階で、セッションスタート後すぐにsession_regenerate_idをしています。
その後、リロードした場合や確認ページから入力内容の編集で戻ってきた場合に指定秒経過ごとに再度session_regenerate_idをしています



２ セッションクッキーのタイムアウトについて

入力ページで決めうちでsession_set_cookie_paramsを使用し、expire属性に例えば3600(1時間)と設定するのが良いのか、もしくは、setcookieでページ遍移ごとに有効期限をリセットして延長する方法が良いのか、どちらが良いのか疑問です。

また、セッションクッキーには時間を設定せずに「 0(ゼロ) 」にした方がクッキーをクライアントのメモリのみに保存するので安全にも思います。
    

どうか、ご教授いただけないでしょうか。

セッションの安全な管理方法について

ご意見ありがとうございました。
次に進もうと思います。

以下、質問です。
タイトルの通り、「気付けばプロ並PHP」という書籍をおわらせました。次はセキュリティに関して覚えた方がいいと言われたこともあり、「体系的に学ぶ、安全なWebアプリケーションの作り方」（以下徳丸本）も買ってきて少し読みました。
ですが、「気付けばプロ並」のほうはパスワードハッシュなどが現在推奨されないものである事などを指摘されたので、「現行の、セキュリティ面などにおいても適切な」コーディングを知りたいと思いました。
その上で、徳丸本を終わらせたらいわゆる「即戦力
」として仕事ができるのでしょうか？
（仕事になるレベルでの知識が得られるサイトも教えていただけたら嬉しいです)
先ほどはスマホからの投稿なので後から追記しました。
pro_list.php
```
<?php

session_start();
session_regenerate_id(true);
if(isset($_SESSION['login'])==false)
{
print 'ログインされていません<br />';
print '<a href="../staff_login/staff_login.html">ログイン画面へ</a>';
exit();
}
else
{
print $_SESSION['staff_name'];
print 'さんログイン中<br />';
print '<br />';
}?>

<!DOCTYPE html>
<html>
<head>
<meta charset="UTF-8">
<title>ろくまる農園</title>
</head>
<body>

<?php

try{
$dsn = 'mysql:dbname=shop;host=localhost;charset=utf8';
$user = 'root';
$password= '';
$dbh = new PDO($dsn,$user,$password);
$dbh -> setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);

$sql = 'SELECT code, name,price FROM mst_product WHERE 1';
$stmt = $dbh->prepare($sql);
$stmt->execute();

$dbh = null;

print '商品一覧<br /><br />';

print '<form method="post" action="pro_branch.php">';
while(true){
  $rec = $stmt -> fetch(PDO::FETCH_ASSOC);
  if($rec==false){
    break;
  }
  print'<input type="radio" name="procode" value="'.$rec['code'].'">';
  print $rec['name'].'---';
  print $rec['price'].'円';
  print'<br />';
}
print '<input type="submit" name="disp" value="参照">';
print '<input type="submit" name="add" value="追加">';
print '<input type="submit" name="edit" value="修正">';
print '<input type="submit" name="delete" value="削除">';

print '</form>';
}


catch(Exception $e){
  print 'ただいま障害発生中です。ご迷惑おかけします。';
  exit();
}

?>

<br />
<a href="../staff_login/staff_top.php">トップメニューへ</a><br />
</body>
</html>
```
staff_branch.php
```
<?php

session_start();
session_regenerate_id(true);
if(isset($_SESSION['login'])==false)
{
print 'ログインされていません<br />';
print '<a href="../staff_login/staff_login.html">ログイン画面へ</a>';
exit();
}
else
{
print $_SESSION['staff_name'];
print 'さんログイン中<br />';
print '<br />';
}?>

<!DOCTYPE html>
<html>
<head>
<meta charset="UTF-8">
<title>ろくまる農園</title>
</head>
<body>

<?php

try{
$dsn = 'mysql:dbname=shop;host=localhost;charset=utf8';
$user = 'root';
$password= '';
$dbh = new PDO($dsn,$user,$password);
$dbh -> setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);

$sql = 'SELECT code, name,price FROM mst_product WHERE 1';
$stmt = $dbh->prepare($sql);
$stmt->execute();

$dbh = null;

print '商品一覧<br /><br />';

print '<form method="post" action="pro_branch.php">';
while(true){
  $rec = $stmt -> fetch(PDO::FETCH_ASSOC);
  if($rec==false){
    break;
  }
  print'<input type="radio" name="procode" value="'.$rec['code'].'">';
  print $rec['name'].'---';
  print $rec['price'].'円';
  print'<br />';
}
print '<input type="submit" name="disp" value="参照">';
print '<input type="submit" name="add" value="追加">';
print '<input type="submit" name="edit" value="修正">';
print '<input type="submit" name="delete" value="削除">';

print '</form>';
}


catch(Exception $e){
  print 'ただいま障害発生中です。ご迷惑おかけします。';
  exit();
}

?>

<br />
<a href="../staff_login/staff_top.php">トップメニューへ</a><br />
</body>
</html>

```
pro_add_check.php
```
<?php

session_start();
session_regenerate_id(true);
if(isset($_SESSION['login'])==false)
{
print 'ログインされていません<br />';
print '<a href="../staff_login/staff_login.html">ログイン画面へ</a>';
exit();
}
else
{
print $_SESSION['staff_name'];
print 'さんログイン中<br />';
print '<br />';
}?>

<!DOCTYPE html>
<html>
<head>
<meta charset="UTF-8">
<title>ろくまる農園</title>
</head>
<body>

<?php

//if (isset($_POST["name"]) &&
//     isset($_POST["pass"]) &&
//     isset($_POST["pass2"])
// ) {
require_once('../common/common.php');

$post=sanitize($_POST);
    $pro_name = $post["name"];
    $pro_price = $post["price"];
    $pro_gazou = $_FILES["gazou"];



// }
if($pro_name == '' ){
print '商品名が入力されていません<br />';
}
else
{
print '商品名：';
print $pro_name;
print '<br />';
}

if(preg_match('/^[0-9]+$/',$pro_price)==0)
{
print '価格をきちんと入力してください<br />';
}
else
{
  print '価格：';
  print $pro_price;
  print '円<br />';
}

if($pro_gazou['size'] > 0)
{
  if($pro_gazou['size'] > 1000000)
  {
  print '画像が大きすぎます';
}

else
{
    move_uploaded_file($pro_gazou['tmp_name'],'./gazou/'.$pro_gazou['name']);
    print '<img src="./gazou/'.$pro_gazou['name'].'">';
    print '<br />';
}
}




if($pro_name=='' || preg_match('/^[0-9]+$/',$pro_price)==0 ||$pro_gazou['size']>1000000)
{
print '<form>';
print '<input type="button" onclick="history.back()" value="戻る">';
print '</form>';
}

else
{
      print '上記の商品を追加します';
      print '<form method="post" action="pro_add_done.php">';
      print '<input type="hidden" name="name" value="'.$pro_name.'">';
      print '<input type="hidden" name="price" value="'.$pro_price.'">';
      print '<input type="hidden" name="gazou_name" value="'.$pro_gazou['name'].'">';
      print '<br />';
      print '<input type="button" onclick="history.back()" value="戻る">';
      print  '<input type="submit" value="OK">';
      print '</form>';

}



?>

</body>
</html>

```
見直してすぐに疑問だったところ二つのファイルを挙げさせてもらいます。
➀SQLやパスワードのやり取りをする上でこれで安全なのか知りたいです。
➁他のファイルなのですが、使用者側のログイン・会員登録・削除と管理側のページが行き来できる事に危険性はないのか
➂preg_match で、半角英・数字を扱う文の書き方を教えていただきたいです。

気付けばプロ並PHP終了

画像投稿掲示板を作っています。リロードされた時やページを戻って再送信した場合に何度もsubmitされるのを防ぎたいのですが、このソースの場合どうしたらいいでしょうか？どうやらherder関数を使うということはわかったのですが、このソースのどこに書いたら動作するのかわかりません。



```
<?php
if(isset($_POST['submit'])) {




	$tweet = $mysqli->real_escape_string($_FILES['tweet']['name']);







	// POSTされた情報をDBに格納する
	$query = "INSERT INTO tweet(messages,user_id) VALUES('$tweet','$user_id')";
	if($mysqli->query($query)) {  ?>
		<div class="alert alert-success" role="alert">登録しました</div>
		<?php } else { ?>
		<div class="alert alert-danger" role="alert">エラーが発生しました。</div>
		<?php
	}




}

?>




<?php
//画像の保存先のパスを指定
$filedir = "images/";

//$filesdirで指定したファイルに画像を保存する。

if (is_uploaded_file($_FILES["tweet"]["tmp_name"])) {
    if (move_uploaded_file($_FILES["tweet"]["tmp_name"], $filedir.$_FILES["tweet"]["name"])) {
        echo $_FILES["tweet"]["name"] . "をアップロードしました。";
    }
    else {
        echo "ファイルをアップロードできません。";
    }
}
else {
    echo "ファイルが選択されていません。";
}


?>


```

PHPで二重投稿を防ぎたいです

PHPでメールフォームを作成したので、脆弱性がないかアドバイスいただけないでしょうか。
エンジニアでもなければ、PHPもろくに書けない雑魚ですが、「[php メールフォーム 作り方](https://www.google.co.jp/search?q=php+%E3%83%A1%E3%83%BC%E3%83%AB%E3%83%95%E3%82%A9%E3%83%BC%E3%83%A0+%E4%BD%9C%E3%82%8A%E6%96%B9&ie=utf-8&oe=utf-8&client=firefox-b-ab&gfe_rd=cr&ei=6NrkWKWOBuzZ8AfguCs)」でググって表示されるサイトを見ると、「んんんんん？？？」と思うところがあります。
これらを参考にしたり、コピペする方は、記述されているコードの良し悪しは判断できないかと思います。
そのような方々が参考にできるメールフォームを作りたいという思いで、調べて作りました。
周りに書いたコードを確認してもらえる人もいないので、皆様からのアドバイスがほしいです((_ _ (´ω｀ )ﾍﾟｺ

このメールフォームは、下記を対象者としています。

- php メールフォーム 作り方 でググってコピペする方
- コピペして動けばいいと考えている方
- if文や関数など基本的な記述はわかるけど、クラスとか理解していない方
- 脆弱性？なにそれ？という方

そのために、このメールフォームは下記の点を意識して作成しました。

- **コピペしたら動く**
- **なるべく難しい記述はしない、記述量を減らす**
- 処理を中断する die を使っていないので、表示したい箇所にコピペすれば動く
- PHP5.2.xまで想定し、環境（magic_quotes_gpc、セーフモード）に依存しない
- 肝心の脆弱性対策はクリックジャッキング、CSRF、XSS、メールヘッダインジェクションを考慮

最終的にはコード＋説明した記事を作成してQittaに投稿する予定です。
問題があれば、詳しい方々からアドバイスやご指摘があるはずなので...

**皆様から見て、脆弱性や気になる点などあれば、アドバイスもらえると嬉しいです((_ _ (´ω｀ )ﾍﾟｺ**
至らないところがあれば、調べますので、ご指摘だけでも頂けると嬉しいです。
お願いします。

入力（`index.php`） → 確認（`confirm.php`） → 送信（`send.php`） と画面を遷移してメールを送ります。

```php
<?php
// 他のサイトでインラインフレーム表示を禁止する（クリックジャッキング対策）
header('X-FRAME-OPTIONS: SAMEORIGIN');

// セッション開始
session_start();

// HTML特殊文字をエスケープする関数
function h($str) {
	return htmlspecialchars($str,ENT_QUOTES,'UTF-8');
}

/* --------------------------------------------------
	トークンの作成（CSRF対策）

	※使用しているPHPのバージョン・環境にあわせて
	 トークンを選んでね。不要なトークは削除してね。
-------------------------------------------------- */

// PHP 7.0 以降
if(!isset($_SESSION['token'])) {
	$_SESSION['token'] = bin2hex(random_bytes(32));
}

// PHP 5.3 ～ 5.x ※OPENSSL導入済
if(!isset($_SESSION['token'])) {
	$_SESSION['token'] = bin2hex(openssl_random_pseudo_bytes(32));
}

// PHP 5.3 未満
if(!isset($_SESSION['token'])) {
	$_SESSION['token'] = hash('sha256', session_id());
}

// トークンを代入
$token = $_SESSION['token'];

?>
<!DOCTYPE html>
<html lang="ja">
<head>
<meta charset="UTF-8">
<title>入力画面</title>
</head>
<body>

<h1>お問い合わせ（入力画面）</h1>

<form method="post" action="confirm.php">
<table>
	<tr>
		<th>お名前（必須）</th>
		<td><input type="text" name="name"></td>
	</tr>
	<tr>
		<th>ふりがな（必須）</th>
		<td><input type="text" name="ruby"></td>
	</tr>
	<tr>
		<th>メールアドレス（必須）</th>
		<td><input type="text" name="mail"></td>
	</tr>
	<tr>
		<th>内容（必須）</th>
		<td><textarea name="content"></textarea></td>
	</tr>
</table>
<input type="hidden" name="token" value="<?php echo h($token); ?>">
<button>送信内容確認</button>
</form>
</body>
</html>
```

```php
<?php
// 他のサイトでインラインフレーム表示を禁止する（クリックジャッキング対策）
header('X-FRAME-OPTIONS: SAMEORIGIN');

// セッション開始
session_start();

// HTML特殊文字をエスケープする関数
function h($str) {
    return htmlspecialchars($str,ENT_QUOTES,'UTF-8');
}
?>
<!DOCTYPE html>
<html lang="ja">
<head>
<meta charset="UTF-8">
<title>確認画面</title>
</head>
<body>

<h1>お問い合わせ（確認画面）</h1>

<?php

// セッション変数がなければ、空文字を代入
if(!isset($_SESSION['token'])) {
    $_SESSION['token'] = '';
}

// POSTされたデータを変数に代入（magic_quotes_gpc = On ＋ NULLバイト 対策）
foreach (array('token','name','ruby','mail','content') as $v) {
    $$v = filter_input(INPUT_POST, $v, FILTER_DEFAULT, FILTER_FLAG_STRIP_LOW);
}

// トークンを確認し、確認画面を表示
if($token !== $_SESSION['token']) {

    echo '<p>お問い合わせの手順に誤りがあります。<br>お手数ですが、最初からやり直してください。</p>';

} else {

    $error_flag = 0;

    // 必須項目は未入力をチェック
    if ($name === '') {
        echo '<p>お名前をご入力してください。</p>';
        $error_flag = 1;
    } elseif (mb_strlen($name) > 50) {
        echo '<p>お名前は 50 文字以内で入力してください。</p>';
        $error_flag = 1;
    }

    if ($ruby === '') {
        echo '<p>ふりがなをご入力してください。</p>';
        $error_flag = 1;
    } elseif (mb_strlen($ruby) > 50) {
        echo '<p>ふりがなは 50 文字以内で入力してください。</p>';
        $error_flag = 1;
    }

    if ($mail === '') {
        echo '<p>メールアドレスをご入力してください。</p>';
        $error_flag = 1;
    } elseif (mb_strlen($mail) > 100) {
        echo '<p>メールアドレスは 100 文字以内で入力してください。</p>';
        $error_flag = 1;
    } elseif (!filter_var($mail, FILTER_VALIDATE_EMAIL)) {
        echo '<p>メールアドレスの形式が正しくありません。</p>';
        $error_flag = 1;
    }

    if ($content === '') {
        echo '<p>内容をご入力してください。</p>';
        $error_flag = 1;
    } elseif (mb_strlen($content) > 500) {
        echo '<p>内容は 500 文字以内で入力してください。</p>';
        $error_flag = 1;
    }

    // エラーがある場合は、戻るボタンを表示し、エラーがない場合は、確認画面を表示
    if ($error_flag === 1) {
        echo '<button onClick="history.back(); return false;">戻る</button>';
    } else {
        // セッション変数に代入
        $_SESSION['name'] = $name;
        $_SESSION['ruby'] = $ruby;
        $_SESSION['mail'] = $mail;
        $_SESSION['content'] = $content;

        // 確認用画面の表示
    ?>

        <form method="post" action="send.php">
            <table>
                <tr>
                    <th>お名前</th>
                    <td><?php echo h($name); ?></td>
                </tr>
                <tr>
                    <th>ふりがな</th>
                    <td><?php echo h($ruby); ?></td>
                </tr>
                <tr>
                    <th>メールアドレス</th>
                    <td><?php echo h($mail); ?></td>
                </tr>
                <tr>
                    <th>内容</th>
                    <td><?php echo nl2br(h($content)); ?></td>
                </tr>
            </table>
            <input type="hidden" name="token" value="<?php echo h($token); ?>">
            <button>送信</button>
        </form>

<?php
    }
}
?>
</body>
</html>
```

```php
<?php
// 他のサイトでインラインフレーム表示を禁止する（クリックジャッキング対策）
header('X-FRAME-OPTIONS: SAMEORIGIN');

// セッション開始
session_start();

// mb_send_mail のエンコーディング
mb_language('ja');

// 内部文字エンコーディングを設定
mb_internal_encoding('UTF-8');
?>
<!DOCTYPE html>
<html lang="ja">
<head>
<meta charset="UTF-8">
<title>送信画面</title>
</head>
<body>

<h1>お問い合わせ（送信画面）</h1>

<?php

// セッション変数がなければ、空文字を代入
if(!isset($_SESSION['token'])) {
    $_SESSION['token'] = '';
}

// POST['token']の値をtoken変数に代入
$token = filter_input(INPUT_POST, 'token', FILTER_DEFAULT, FILTER_FLAG_STRIP_LOW);

// 各セッション変数を各変数に代入
$name = isset($_SESSION['name']) && is_string($_SESSION['name']) ? $_SESSION['name'] : '';
$ruby = isset($_SESSION['ruby']) && is_string($_SESSION['ruby']) ? $_SESSION['ruby'] : '';
$mail = isset($_SESSION['mail']) && is_string($_SESSION['mail']) ? $_SESSION['mail'] : '';
$content = isset($_SESSION['content']) && is_string($_SESSION['content']) ? $_SESSION['content'] : '';

// トークンの値が一致しない場合は、エラー文を表示し、一致する場合は送信する
if($token !== $_SESSION['token']) {

    echo '<p>送信後に再度アクセスされたか、お問い合わせの手順に誤りがあります。<br>お手数ですが、最初の画面からご入力ください。<p>';

} else {

    /*  運営側へ送信するメールの設定  */

    // 送信先のメールアドレス
    $to      = 'xxxxxx@xxxxx.xxxx';
    // 件名
    $subject = '【お問い合わせからの送信】○○○○○○○○○○';
    // 本文
    $message = "◆お名前\n$name\n\n◆フリガナ\n$ruby\n\n◆メールアドレス\n$mail\n\n◆内容\n$content";
    // オプション
    $option = '-f'. $to;


    /*  問い合わせされた方へ自動返信するメールの設定  */

    // 件名
    $auto_subject = '【お問い合わせ】○○○○○○○○○○';
    // 送信元のメールアドレス
    $auto_from    = 'From:' . $to;
    // 本文
    $auto_message = "
※このメールは自動返信によるものです。

$name 様

このたびは、お問合せいただき、誠にありがとうございました。

お送りいただきました内容を確認の上、担当者より折り返しご連絡させていただきます。
    ";

    /* セーフモードがONの場合は、mb_send_mailの第5引数が使えないため、処理を分岐して送信 */
    if(ini_get('safe_mode')) {

        /*  運営側と自動返信のメールの送信が完了したら、送信完了の文章を表示する  */
        if(mb_send_mail($to, $subject, $message, "From:$mail") && mb_send_mail($mail, $auto_subject, $auto_message, $auto_from)) {
            echo '<p>このたびは、お問合せいただき、誠にありがとうございました。<br>お送りいただきました内容を確認の上、担当者より折り返しご連絡させていただきます。</p>';
        } else {
            echo '<p>大変申し訳ございませんが、メールの送信に失敗しました。<br>お手数ですが最初からやり直してください。</p>';
        }

    } else {

        /*  運営側と自動返信のメールの送信が完了したら、送信完了の文章を表示する  */
        if(mb_send_mail($to, $subject, $message, "From:$mail", $option) && mb_send_mail($mail, $auto_subject, $auto_message, $auto_from, $option)) {
            echo '<p>このたびは、お問合せいただき、誠にありがとうございました。<br>お送りいただきました内容を確認の上、担当者より折り返しご連絡させていただきます。</p>';
        } else {
            echo '<p>大変申し訳ございませんが、メールの送信に失敗しました。<br>お手数ですが最初からやり直してください。</p>';
        }

    }

}

// セッションの破棄
$_SESSION = array();
session_destroy();

?>
</body>
</html>
```

## **2017.04.11 追記**

徳丸氏による、脆弱性の解説です。

- [teratailに投稿されたメールフォームにCSRF脆弱性が残存した理由 | 徳丸浩の日記](http://blog.tokumaru.org/2017/04/teratailcsrf.html)

ありがとうございます((_ _ (´ω｀ )ﾍﾟｺ