PHPのfilter_var()：メールアドレス・整数・URLの検証

filter_var($value, FILTER_VALIDATE_EMAIL)は、値が正しいメールアドレスならその値を、そうでなければfalseを返します。フィルターを替えればほかの形式も確認できます：FILTER_VALIDATE_INT、FILTER_VALIDATE_FLOAT、FILTER_VALIDATE_URL、FILTER_VALIDATE_BOOL、FILTER_VALIDATE_IP。結果は常に=== falseで比較しましょう。

<?php
$emails = ['ada@example.com', 'ada.lovelace+news@example.co.uk', 'ada@', 'ada@example', 'ada..x@example.com', ' ada@example.com'];

foreach ($emails as $email) {
    $ok = filter_var($email, FILTER_VALIDATE_EMAIL) !== false;
    printf("%-34s %s\n", "'$email'", $ok ? 'valid' : 'invalid');
}

2つの結果が意外かもしれません。ada@exampleはドメインにドットがないので拒否され、' ada@example.com'は先頭の空白のせいで拒否されます。検証する前に入力をtrim()しましょう。

フォームからのメールアドレスを検証する

フォームの裏で同じ確認をします。実行してアドレスを入力し、Checkを押すと、入力が$_POSTに入った状態でブロックがもう一度実行されます。

<?php
$email = trim((string) ($_POST['email'] ?? ''));
$result = '';

if ($email !== '') {
    $result = filter_var($email, FILTER_VALIDATE_EMAIL) !== false
        ? '<b style="color:#2e7d32">valid</b>'
        : '<b style="color:#c62828">invalid</b>';
}
?>
<form method="post">
  <input name="email" size="30" value="<?= htmlspecialchars($email) ?>" placeholder="you@example.com">
  <button>Check</button>
</form>
<?php if ($result): ?><p><?= htmlspecialchars($email) ?> is <?= $result ?></p><?php endif; ?>

FILTER_VALIDATE_EMAILが確認するのは形式だけです。nobody@example.comは通りますし、ドメインにタイプミスのあるアドレスも通ります。ASCII以外の文字は拒否されます。adä@example.comは@の前にそれらを許すFILTER_FLAG_EMAIL_UNICODEを付けたときだけ通り、exämple.comのようなドメインは、先にxn--の形に変換しない限りフラグを付けても失敗します。アドレスが使えるかを知る唯一の方法は、確認用のリンクを送ることです。

min_rangeとmax_range付きで整数を検証する

FILTER_VALIDATE_INTは正しい文字列をintに変え、それ以外はすべて拒否します。オプションの配列で範囲と既定値を加えられます。

<?php
$inputs = ['42', '-7', ' 42 ', '+42', '4.2', '042', '42abc', '', '0'];

foreach ($inputs as $in) {
    echo str_pad("'$in'", 8), ' => ';
    var_dump(filter_var($in, FILTER_VALIDATE_INT));
}

$age = filter_var('150', FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 0, 'max_range' => 120],
]);
var_dump($age);

$page = filter_var('abc', FILTER_VALIDATE_INT, ['options' => ['default' => 1]]);
var_dump($page);

前後の空白と先頭の+は受け付けられますが、先頭のゼロ（'042'）は受け付けられず、'42'の結果は文字列ではなく整数の42です。範囲外ならfalseで、defaultオプションがあればfalseの代わりに既定値が得られ、?page=のようなものに便利です（$_GETと$_POSTを参照）。0x1Aや0755を受け付けるには、FILTER_FLAG_ALLOW_HEXやFILTER_FLAG_ALLOW_OCTALを加えます。

0とfalseの罠

正しい'0'は整数の0を返し、0はfalseと評価されます。素のifはそれを失敗として扱ってしまいます。

<?php
$quantity = '0';

if (filter_var($quantity, FILTER_VALIDATE_INT)) {
    echo "if (...): valid\n";
} else {
    echo "if (...): rejected, wrongly\n";
}

if (filter_var($quantity, FILTER_VALIDATE_INT) !== false) {
    echo "!== false: valid\n";
}

// Or get null instead of false on failure, and check for null
$n = filter_var('abc', FILTER_VALIDATE_INT, FILTER_NULL_ON_FAILURE);
var_dump($n);

同じことが、FILTER_VALIDATE_FLOAT（'0.0'）と、falseが正しい答えであるFILTER_VALIDATE_BOOLにも当てはまります。FILTER_NULL_ON_FAILUREはそのためにあります。

真偽値、浮動小数点数、URL、IPアドレス

<?php
// Booleans: "1", "true", "on", "yes" are true; "0", "false", "off", "no", "" are false
foreach (['yes', 'off', 'TRUE', 'maybe'] as $v) {
    echo str_pad($v, 6), ' => ', var_export(filter_var($v, FILTER_VALIDATE_BOOL, FILTER_NULL_ON_FAILURE), true), "\n";
}

// Floats: the decimal separator is "." unless you say otherwise
var_dump(filter_var('3.14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT, ['options' => ['decimal' => ',']]));
var_dump(filter_var('1,000.5', FILTER_VALIDATE_FLOAT, FILTER_FLAG_ALLOW_THOUSAND));

// URLs need a scheme
var_dump(filter_var('https://coddy.tech/docs?x=1', FILTER_VALIDATE_URL));
var_dump(filter_var('coddy.tech', FILTER_VALIDATE_URL));

// IP addresses, optionally excluding private ranges
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP));
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE));

FILTER_VALIDATE_BOOLはPHP 8での名前で、FILTER_VALIDATE_BOOLEANは同じフィルターです。FILTER_NULL_ON_FAILUREがなければ、'maybe'はfalseを返し、'off'と区別できなくなります。

正しいURLは安全なリンクではない

FILTER_VALIDATE_URLが確認するのは、文字列がURLの形をしているかどうかで、スキームは何でもかまいません。そこにはhrefに決して入れたくないスキームも含まれます。

<?php
function isSafeLink(string $url): bool
{
    if (filter_var($url, FILTER_VALIDATE_URL) === false) {
        return false;
    }
    $scheme = strtolower((string) parse_url($url, PHP_URL_SCHEME));
    return in_array($scheme, ['http', 'https'], true);
}

foreach (['https://example.com', 'javascript://comment%0Aalert(1)', 'ftp://files.example.com', 'example.com'] as $url) {
    printf("%-36s filter_var: %-5s  safe link: %s\n",
        $url,
        filter_var($url, FILTER_VALIDATE_URL) !== false ? 'yes' : 'no',
        isSafeLink($url) ? 'yes' : 'no');
}

javascript://comment%0Aalert(1)はFILTER_VALIDATE_URLを通り、%0Aが//commentを終わらせるので、リンクをクリックするとブラウザはそれをJavaScriptとして実行します。ユーザーのURLをページに出力する前に、parse_url()でスキームを確認しましょう。FILTER_FLAG_PATH_REQUIREDやFILTER_FLAG_QUERY_REQUIREDで部品を必須にすることもできます。

サニタイズフィルター

サニタイズフィルターは、はいかいいえを答える代わりに文字を取り除きます。入力の正規化には役立ちますが、出力しても安全にするためのものではありません。

<?php
var_dump(filter_var('Order #12-345 (x2)', FILTER_SANITIZE_NUMBER_INT));
var_dump(filter_var('$1,299.99', FILTER_SANITIZE_NUMBER_FLOAT, FILTER_FLAG_ALLOW_FRACTION));
var_dump(filter_var('ada (at) example.com', FILTER_SANITIZE_EMAIL));
var_dump(filter_var('<b>Tom</b> & "Jerry"', FILTER_SANITIZE_FULL_SPECIAL_CHARS));

1行目を見てください。Order #12-345 (x2)は、入力のどこにもなかった数値12-3452になり、3行目は誰も入力していないアドレスです。サニタイズするなら、そのあとで結果を検証しましょう。HTMLに出力するものには、出力時のhtmlspecialchars()が正しい道具です（FILTER_SANITIZE_FULL_SPECIAL_CHARSも同じエスケープをします）。FILTER_SANITIZE_STRINGはPHP 8.1以降非推奨です。代わりに何を使うかはhtmlspecialcharsを参照してください。

filter_var_arrayでフォーム全体を検証する

filter_var_array()はキーごとに1つのフィルターを適用し、求めたすべてのキーを持つ配列を返します。値はフィルター済みの値、検証に失敗したらfalse、キーがなければnullです。

<?php
$input = ['age' => '31', 'email' => 'not-an-email', 'newsletter' => 'on', 'role' => 'admin'];

$clean = filter_var_array($input, [
    'age'        => ['filter' => FILTER_VALIDATE_INT, 'options' => ['min_range' => 13]],
    'email'      => FILTER_VALIDATE_EMAIL,
    'newsletter' => ['filter' => FILTER_VALIDATE_BOOL, 'flags' => FILTER_NULL_ON_FAILURE],
    'country'    => FILTER_DEFAULT,
]);

var_dump($clean);

roleはなくなっています。並べなかったキーは取り除かれるので、訪問者がフォームにrole=adminを加えてそれが保存されるのを防げます。countryは送られなかったのでnullです。Webサーバーでは、filter_input_array(INPUT_POST, $rules)がリクエストから直接読んで同じことをします。