常連

PHPでメールフォームを作成したので、脆弱性がないかアドバイスいただけないでしょうか。
エンジニアでもなければ、PHPもろくに書けない雑魚ですが、「[php メールフォーム 作り方](https://www.google.co.jp/search?q=php+%E3%83%A1%E3%83%BC%E3%83%AB%E3%83%95%E3%82%A9%E3%83%BC%E3%83%A0+%E4%BD%9C%E3%82%8A%E6%96%B9&ie=utf-8&oe=utf-8&client=firefox-b-ab&gfe_rd=cr&ei=6NrkWKWOBuzZ8AfguCs)」でググって表示されるサイトを見ると、「んんんんん？？？」と思うところがあります。
これらを参考にしたり、コピペする方は、記述されているコードの良し悪しは判断できないかと思います。
そのような方々が参考にできるメールフォームを作りたいという思いで、調べて作りました。
周りに書いたコードを確認してもらえる人もいないので、皆様からのアドバイスがほしいです((_ _ (´ω｀ )ﾍﾟｺ

このメールフォームは、下記を対象者としています。

- php メールフォーム 作り方 でググってコピペする方
- コピペして動けばいいと考えている方
- if文や関数など基本的な記述はわかるけど、クラスとか理解していない方
- 脆弱性？なにそれ？という方

そのために、このメールフォームは下記の点を意識して作成しました。

- **コピペしたら動く**
- **なるべく難しい記述はしない、記述量を減らす**
- 処理を中断する die を使っていないので、表示したい箇所にコピペすれば動く
- PHP5.2.xまで想定し、環境（magic_quotes_gpc、セーフモード）に依存しない
- 肝心の脆弱性対策はクリックジャッキング、CSRF、XSS、メールヘッダインジェクションを考慮

最終的にはコード＋説明した記事を作成してQittaに投稿する予定です。
問題があれば、詳しい方々からアドバイスやご指摘があるはずなので...

**皆様から見て、脆弱性や気になる点などあれば、アドバイスもらえると嬉しいです((_ _ (´ω｀ )ﾍﾟｺ**
至らないところがあれば、調べますので、ご指摘だけでも頂けると嬉しいです。
お願いします。

入力（`index.php`） → 確認（`confirm.php`） → 送信（`send.php`） と画面を遷移してメールを送ります。

```php
<?php
// 他のサイトでインラインフレーム表示を禁止する（クリックジャッキング対策）
header('X-FRAME-OPTIONS: SAMEORIGIN');

// セッション開始
session_start();

// HTML特殊文字をエスケープする関数
function h($str) {
	return htmlspecialchars($str,ENT_QUOTES,'UTF-8');
}

/* --------------------------------------------------
	トークンの作成（CSRF対策）

	※使用しているPHPのバージョン・環境にあわせて
	 トークンを選んでね。不要なトークは削除してね。
-------------------------------------------------- */

// PHP 7.0 以降
if(!isset($_SESSION['token'])) {
	$_SESSION['token'] = bin2hex(random_bytes(32));
}

// PHP 5.3 ～ 5.x ※OPENSSL導入済
if(!isset($_SESSION['token'])) {
	$_SESSION['token'] = bin2hex(openssl_random_pseudo_bytes(32));
}

// PHP 5.3 未満
if(!isset($_SESSION['token'])) {
	$_SESSION['token'] = hash('sha256', session_id());
}

// トークンを代入
$token = $_SESSION['token'];

?>
<!DOCTYPE html>
<html lang="ja">
<head>
<meta charset="UTF-8">
<title>入力画面</title>
</head>
<body>

<h1>お問い合わせ（入力画面）</h1>

<form method="post" action="confirm.php">
<table>
	<tr>
		<th>お名前（必須）</th>
		<td><input type="text" name="name"></td>
	</tr>
	<tr>
		<th>ふりがな（必須）</th>
		<td><input type="text" name="ruby"></td>
	</tr>
	<tr>
		<th>メールアドレス（必須）</th>
		<td><input type="text" name="mail"></td>
	</tr>
	<tr>
		<th>内容（必須）</th>
		<td><textarea name="content"></textarea></td>
	</tr>
</table>
<input type="hidden" name="token" value="<?php echo h($token); ?>">
<button>送信内容確認</button>
</form>
</body>
</html>
```

```php
<?php
// 他のサイトでインラインフレーム表示を禁止する（クリックジャッキング対策）
header('X-FRAME-OPTIONS: SAMEORIGIN');

// セッション開始
session_start();

// HTML特殊文字をエスケープする関数
function h($str) {
    return htmlspecialchars($str,ENT_QUOTES,'UTF-8');
}
?>
<!DOCTYPE html>
<html lang="ja">
<head>
<meta charset="UTF-8">
<title>確認画面</title>
</head>
<body>

<h1>お問い合わせ（確認画面）</h1>

<?php

// セッション変数がなければ、空文字を代入
if(!isset($_SESSION['token'])) {
    $_SESSION['token'] = '';
}

// POSTされたデータを変数に代入（magic_quotes_gpc = On ＋ NULLバイト 対策）
foreach (array('token','name','ruby','mail','content') as $v) {
    $$v = filter_input(INPUT_POST, $v, FILTER_DEFAULT, FILTER_FLAG_STRIP_LOW);
}

// トークンを確認し、確認画面を表示
if($token !== $_SESSION['token']) {

    echo '<p>お問い合わせの手順に誤りがあります。<br>お手数ですが、最初からやり直してください。</p>';

} else {

    $error_flag = 0;

    // 必須項目は未入力をチェック
    if ($name === '') {
        echo '<p>お名前をご入力してください。</p>';
        $error_flag = 1;
    } elseif (mb_strlen($name) > 50) {
        echo '<p>お名前は 50 文字以内で入力してください。</p>';
        $error_flag = 1;
    }

    if ($ruby === '') {
        echo '<p>ふりがなをご入力してください。</p>';
        $error_flag = 1;
    } elseif (mb_strlen($ruby) > 50) {
        echo '<p>ふりがなは 50 文字以内で入力してください。</p>';
        $error_flag = 1;
    }

    if ($mail === '') {
        echo '<p>メールアドレスをご入力してください。</p>';
        $error_flag = 1;
    } elseif (mb_strlen($mail) > 100) {
        echo '<p>メールアドレスは 100 文字以内で入力してください。</p>';
        $error_flag = 1;
    } elseif (!filter_var($mail, FILTER_VALIDATE_EMAIL)) {
        echo '<p>メールアドレスの形式が正しくありません。</p>';
        $error_flag = 1;
    }

    if ($content === '') {
        echo '<p>内容をご入力してください。</p>';
        $error_flag = 1;
    } elseif (mb_strlen($content) > 500) {
        echo '<p>内容は 500 文字以内で入力してください。</p>';
        $error_flag = 1;
    }

    // エラーがある場合は、戻るボタンを表示し、エラーがない場合は、確認画面を表示
    if ($error_flag === 1) {
        echo '<button onClick="history.back(); return false;">戻る</button>';
    } else {
        // セッション変数に代入
        $_SESSION['name'] = $name;
        $_SESSION['ruby'] = $ruby;
        $_SESSION['mail'] = $mail;
        $_SESSION['content'] = $content;

        // 確認用画面の表示
    ?>

        <form method="post" action="send.php">
            <table>
                <tr>
                    <th>お名前</th>
                    <td><?php echo h($name); ?></td>
                </tr>
                <tr>
                    <th>ふりがな</th>
                    <td><?php echo h($ruby); ?></td>
                </tr>
                <tr>
                    <th>メールアドレス</th>
                    <td><?php echo h($mail); ?></td>
                </tr>
                <tr>
                    <th>内容</th>
                    <td><?php echo nl2br(h($content)); ?></td>
                </tr>
            </table>
            <input type="hidden" name="token" value="<?php echo h($token); ?>">
            <button>送信</button>
        </form>

<?php
    }
}
?>
</body>
</html>
```

```php
<?php
// 他のサイトでインラインフレーム表示を禁止する（クリックジャッキング対策）
header('X-FRAME-OPTIONS: SAMEORIGIN');

// セッション開始
session_start();

// mb_send_mail のエンコーディング
mb_language('ja');

// 内部文字エンコーディングを設定
mb_internal_encoding('UTF-8');
?>
<!DOCTYPE html>
<html lang="ja">
<head>
<meta charset="UTF-8">
<title>送信画面</title>
</head>
<body>

<h1>お問い合わせ（送信画面）</h1>

<?php

// セッション変数がなければ、空文字を代入
if(!isset($_SESSION['token'])) {
    $_SESSION['token'] = '';
}

// POST['token']の値をtoken変数に代入
$token = filter_input(INPUT_POST, 'token', FILTER_DEFAULT, FILTER_FLAG_STRIP_LOW);

// 各セッション変数を各変数に代入
$name = isset($_SESSION['name']) && is_string($_SESSION['name']) ? $_SESSION['name'] : '';
$ruby = isset($_SESSION['ruby']) && is_string($_SESSION['ruby']) ? $_SESSION['ruby'] : '';
$mail = isset($_SESSION['mail']) && is_string($_SESSION['mail']) ? $_SESSION['mail'] : '';
$content = isset($_SESSION['content']) && is_string($_SESSION['content']) ? $_SESSION['content'] : '';

// トークンの値が一致しない場合は、エラー文を表示し、一致する場合は送信する
if($token !== $_SESSION['token']) {

    echo '<p>送信後に再度アクセスされたか、お問い合わせの手順に誤りがあります。<br>お手数ですが、最初の画面からご入力ください。<p>';

} else {

    /*  運営側へ送信するメールの設定  */

    // 送信先のメールアドレス
    $to      = 'xxxxxx@xxxxx.xxxx';
    // 件名
    $subject = '【お問い合わせからの送信】○○○○○○○○○○';
    // 本文
    $message = "◆お名前\n$name\n\n◆フリガナ\n$ruby\n\n◆メールアドレス\n$mail\n\n◆内容\n$content";
    // オプション
    $option = '-f'. $to;


    /*  問い合わせされた方へ自動返信するメールの設定  */

    // 件名
    $auto_subject = '【お問い合わせ】○○○○○○○○○○';
    // 送信元のメールアドレス
    $auto_from    = 'From:' . $to;
    // 本文
    $auto_message = "
※このメールは自動返信によるものです。

$name 様

このたびは、お問合せいただき、誠にありがとうございました。

お送りいただきました内容を確認の上、担当者より折り返しご連絡させていただきます。
    ";

    /* セーフモードがONの場合は、mb_send_mailの第5引数が使えないため、処理を分岐して送信 */
    if(ini_get('safe_mode')) {

        /*  運営側と自動返信のメールの送信が完了したら、送信完了の文章を表示する  */
        if(mb_send_mail($to, $subject, $message, "From:$mail") && mb_send_mail($mail, $auto_subject, $auto_message, $auto_from)) {
            echo '<p>このたびは、お問合せいただき、誠にありがとうございました。<br>お送りいただきました内容を確認の上、担当者より折り返しご連絡させていただきます。</p>';
        } else {
            echo '<p>大変申し訳ございませんが、メールの送信に失敗しました。<br>お手数ですが最初からやり直してください。</p>';
        }

    } else {

        /*  運営側と自動返信のメールの送信が完了したら、送信完了の文章を表示する  */
        if(mb_send_mail($to, $subject, $message, "From:$mail", $option) && mb_send_mail($mail, $auto_subject, $auto_message, $auto_from, $option)) {
            echo '<p>このたびは、お問合せいただき、誠にありがとうございました。<br>お送りいただきました内容を確認の上、担当者より折り返しご連絡させていただきます。</p>';
        } else {
            echo '<p>大変申し訳ございませんが、メールの送信に失敗しました。<br>お手数ですが最初からやり直してください。</p>';
        }

    }

}

// セッションの破棄
$_SESSION = array();
session_destroy();

?>
</body>
</html>
```

## **2017.04.11 追記**

徳丸氏による、脆弱性の解説です。

- [teratailに投稿されたメールフォームにCSRF脆弱性が残存した理由 | 徳丸浩の日記](http://blog.tokumaru.org/2017/04/teratailcsrf.html)

ありがとうございます((_ _ (´ω｀ )ﾍﾟｺ

【PHP】作成したメールフォームに脆弱性がないか、アドバイスもらえないでしょうか。

現在PHP Laravelの開発環境で開発をしています。
会員サイトで自分がアップしたファイルを指定ユーザーにだけダウンロードできる仕組みを作成しています。
実装はできているのですが、以下の仕様で問題点がないのかを確認のために教えて頂きたいと思います。
私自身は元C++などでアプリ開発をしてた身でweb開発は現在勉強しながら開発を行っています。

条件としては以下の通りです。
・アップしたファイル(バイナリ)はできるだけDBに保存ではなくファイルとして保存したい
・ファイルサイズは１～100MB程度
・アップロード、ダウンロードは基本ユーザ間1対1で行われます。

1, 現在自分が作成したのは、アップロード(post)したファイルをサーバ側で公開ディレクトリではなく、
非公開のディレクトリに保存する。 その時にアップしたユーザのIDと共有者のID、ファイルのID(ユニーク)、ファイルの保存パス(非公開ディレクトリ)をDBに保存

・具体的にはLaravelのディレクトリ配置だと以下の場所に保存しています
/public            こっちは公開ディレクトリなので使わない
/storage/data/xxxx(ユーザID)  こっちに保存する


2, ダウンロード時は以下のようなダウンロードURLを使いgetでアクセス
http://hogehoge.jp/download?file_id=xxxx

サーバ側の処理ではLaravelのログインのセッションが貼られているので
自分のIDとGetのパラメータfile_idからファイルパスを検索し、上記の共有IDが自分のIDと同じかを確認、正しければ
Content-Type application/force-downloadで強制的にダウンロードさせる。


Laravelはコントローラーで以下のコードを書いています
$file = storage_path(). $item->path;	//ファイルの置いてるパス
return Response::download($file, $item->file_name, ['content-type' => 'application/zip']);


以上のような処理を行っています。
個人的に調査をして考えた方法なのですが、セキュリティー面で第三者がダウンロードできる可能性はないと思っています。
確認のため問題点があればご指摘していただければ幸いです。
あと、1点確認なのですが、Laravelのstorageディレクトリ配下のファイルは直リンクでは絶対にアクセスできないと認識器しています。これは正しいでしょうか？

Laravel ファイルをサーバにアップロードし、自分と指定ユーザーだけがダウンロードできるようにしたい

#png画像が圧縮されない
JPEGとPNGの画像を圧縮しようとしているのですがJPEGはうまく圧縮されるのに
PNGは全く圧縮されません。

試している画像がいけないのか!?
実装方法がいけないのか!?
そもそもPNG画像って圧縮できないものなのか!?
(可逆圧縮だと圧縮できない!?そのような記述も見た気もしますがいまいち理解できてません。)

##開発環境
php:5.5.24
phalcon:1.3.4

##JPEG
imagerotateなどの処理もあり、imagejpegの第3引数にて圧縮値を設定しています。

##PNG
JPEG同様にimagepngを用いて圧縮をしてみたのですが思うように圧縮されませんでした。

`imagepng($image, $fileName,1);`

第3引数の値をNULL〜最大値(9)まで試してた結果がいかになります。

| 圧縮値 |  圧縮前(byte)  |  圧縮後(byte)  | 圧縮率  |
|--------|--------|--------|--------|
| NULL | 336,996 | 342,403 | 1.01604 |
| 0 | 336,996 | 1,689,345 | 5.01295 |
| 1 | 336,996 | 424,910 | 1.26088 |
| 2 | 336,996 | 412,548  | 1.22419 |
| 3 | 336,996 | 393,663 | 1.16815 |
| 4 | 336,996 | 361,057 | 1.0714 |
| 5 | 336,996 | 352,635 | 1.04641 |
| 6 | 336,996 | 342,403 | 1.01604 |
| 7 | 336,996 | 337,311 | 1.00093 |
| 8 | 336,996 | 327,844 | 0.97284 |
| 9 | 336,996 | 323,692 | 0.96052 |

###疑問点
・今回のケースではなぜ全く圧縮されないのでしょうか？
・pngの圧縮はどのように実装すればいいでしょうか？

pngの圧縮

PHPの変数や関数、クラス等を書籍等を見ながら勉強してる入門者です。

PHPがはじめての言語なので、PHPの内部構造（C言語）は読めません(･ω･`；)

変数や関数など記述したコードがPHPの内部でどのような流れで処理されているのか理解したく、調べております。

PHP7で内部構造が変わっていることは承知しております。

PHP7については情報少ないので、PHP5の内部構造を調べております。

コンパイラやzval構造体、ハッシュテーブルなど一部にフォーカスして説明した記事は結構ありましたが、全体を示す図がなかなか見つからず、2日ぐらいググって下記の図を見つけました。

![イメージ説明](8bd250582193049cfaac62b164d86643.jpeg)

引用：[Quick tour of PHP from inside](http://www.slideshare.net/jpauli/quick-tour-of-php-from-inside)

LexerやParser、OPcode、zval、HashTablesなど単体を説明した記事はありましたので、それぞれがどのような役割をしているのかは何となく理解しております。

ただ、上図で言うところの「Zend Virtual Machine」と「Zend Engine Core」の結びつきがわからず一連の処理が理解できておりません。

**直接的な回答ではなくても、参考になるサイトや書籍など何でもいいので情報を頂けると嬉しいです。**

#【質問1】Zval や HashTables などはどの段階で作成されるのですか？

PHP5ならLexerで字句解析をし、Parserで構文解析をして、OPcodeを作成して実行しているかと存じます。

この一連の流れの中で、Zval や HashTables などが作成されると思うのですが、Parserで構文解析したときに作成されるのでしょうか？

それとも別の段階で作成されるのでしょうか。

#【質問2】シンボルテーブルはスコープごとに作成されるのですか？

シンボルテーブルを表した下図だとglobalとfunctionとシンボルテーブルが別々です。

![イメージ説明](0c5c03d62af5a387ff6c51630d62d881.png)

引用：[php-secrets-forum7.](https://derickrethans.nl/talks/php-secrets-forum7.pdf)

シンボルテーブルはスコープごとに作成されるということでしょうか？

#【質問2がYesだった場合】属するシンボルテーブル名を確認する方法はありますか？

仮にスコープごとにシンボルテーブルが作られる場合、複数のシンボルテーブルがあるかと存じます。

シンボルテーブルを区別するために名前のようなものが付与されるかと存じます。

そのシンボルテーブルの名前を確認する方法はありますでしょうか？

`xdebug_debug_zval()` だとzvalの中身はわかりますが、属しているシンボルテーブルの名前は表示されません。

シンボルテーブルの名前をダンプする方法があれば、教えてください。

#【質問3】function stack とはなんですか？

シンボルテーブルを表した図にはfunction stackとあります。
これは何を表してるのでしょうか？

ご存知の方いれば、何卒ご教示くださいm(__)m

# 参考・閲読

下記には目を通しましたが、難して理解できていないところも多々あります^^;

- [The secret of PHP7's Performance](http://www.slideshare.net/laruence/the-secret-of-php7s-performance)
- [phpの配列はどのようにして初期化され実行されるのか](http://zudoh.com/archives/218)
- [Still trying to get it all out: Understanding Opcodes](http://blog.golemon.com/2008/01/understanding-opcodes.html)
- [PHP tokens and opcodes : 3 useful extensions for understanding the working of Zend Engine](http://abhinavsingh.com/tag/zend-engine/)
- [Php opcodes sep2008](http://sssslide.com/www.slideshare.net/bengiuliano/php-opcodes-sep2008)
- [PHPの配列管理方法を正しく理解する-ハッシュテーブルとZval](http://www.cpa-lab.com/tech/031)

- [PHP7の内部実装から学ぶ性能改善テクニック](http://www.slideshare.net/hnw/php7-52408724)
- [ZendEngine勉強会で「拡張ライブラリでなるべく簡単に構文を追加する方法」というタイトルで喋ってきました](http://blog.asial.co.jp/809)
- [PHP AST 徹底解説](http://www.slideshare.net/do_aki/php-ast)
- [PHP プログラムのファイルサイズと抽象構文木のノード数の分布](http://y-uti.hatenablog.jp/entry/2015/12/05/161415)
- [PHP7調査(2)コンパイル時にASTを構築するようになった](http://qiita.com/hnw/items/4dfdcc6a3eace7fe1936)
- [PHP実行までの流れとOPcache](http://tech.akat.info/?p=1371)
- [オレオレPHPのつくり方](http://sssslide.com/www.slideshare.net/rsk/php-17106150)
- [PHP による hello world 入門](http://tech.respect-pal.jp/php-helloworld/)
- [PHP 5.5ネーティブキャッシュの話](http://www.slideshare.net/hirokawa/php-55-26227359)
- [Zend OPcacheの速さの秘密を探る](http://www.slideshare.net/hnw/zend-opcache)

# 蛇足

質問の中にある書いてある通り、全体図を探すのに結構な時間を費やしました。
`php, zval, zend, lexer, parser, vm, opcode, hashtable, symboltable` あたりのワードでひたすらググってましたが英語や中国語のヒットします。
日本語しか読めないので、進化したGoogle翻訳をフル活用して調べてましたが、なかなか全体図を説明・記載したものを探せませんでした。
最終的にグーグルの画像検索で見つけました。
私のようにググり力が乏しい方はいないかもしれませんが、同じように困ってる方がいれば画像検索も試してみてください。
以上、蛇足です。