初めてのPHP

9.8

 まとめ

195

例

9-21

 ファイル名に入るフォームパラメータの無害化

//

ユーザ入力からスラッシュを取り除く

$user = str_replace('/', '', $_POST['user']);

//

ユーザ入力から

..

を取り除く

$user = str_replace('..', '', $user);

if (is_readable("/usr/local/data/$user")) {

print 'User profile for ' . htmlentities($user) .': <br/>';

print file_get_contents("/usr/local/data/$user");

}

悪意のあるユーザが例 9-21の

user

フォームパラメータとして

../../../etc/passwd

を指定する

と、

etcpasswd

に変換してから

file_get_contents()

で使うファイル名に取り込みます。

realpath()

を使 う ことによ っ ても、有害な ユーザ入力 を 効果的に 避 けることが で きます。

realpath()

は、

..

を含む難解なファイル名をファイルの場所をより直接的に示す

..

の付かない

ファイル名に変換します。例えば、

realpath('/usr/local/data/../../../etc/passwd')

は文字列

/

etc/passwd

を返します。例 9-22のように

realpath()

を使うと、フォームデータを取り込んだ後に ...