Page 1
入力＋検査＝型安全
Make PHP type safe by validating input
pixiv Inc.
USAMI Kenta
2023-09-16
PHPカンファレンス沖縄2023
Page 8
型がついていない関数(PHP5)
function add($a, $b) {
return $a + $b;
}
Page 9
スカラー型宣言(PHP7)
int + intって
本当にintなの？
function add(int $a, int $b): int {
return $a + $b;
}
Page 10
広い値をとるにはfloatが必要
ひとつの解決策では
あるが… 不必要に(cid:152)oat
を強制するのか
function add(float $a, float $b): float {
return $a + $b;
}
Page 11
PHPDocの型注釈
(アノテーション)
/**
* @param int|float $a
あえて型宣言を省略する
* @param int|float $b
* @return int|float
*/
function add($a, $b) {
return $a + $b;
}
Page 12
ユニオン型宣言 (PHP8.0)
function add(int|float $a, int|float $b): int|float {
return $a + $b;
}
Page 18
いまやPHPは
静的型付きと言っても
過言ではない
(本当か…？)
Page 28
Validation
Sanitize Escape
Page 33
/** IDから記事を取得 */
function getById(int $id): Article
{
// 中でデータベースに問い合わせ
}
Page 34
実際あぶない
$id = $_GET['id'];
$article=getById($id);
Page 35
そもそも何者
$id = $_GET['id'];
$article=getById($id);
Page 38
// ?id=1
$_GET['id'] === '1';
Page 39
// ?id=a
$_GET['id'] === 'a';
Page 40
// ?id[]=a
$_GET['id'] === ['a'];
Page 41
// ?id[foo]=bar $_GET['id'] ===
['foo' => 'bar'];
Page 44
// ?id=32x
$id = (int)$_GET['id'];
$id === 32;
Page 45
if (is_numeric($_GET['id'])) {
throw new BadRequestException();
}
$id = (int)$_GET['id'];
Page 49
// ?id=1.23
if (is_numeric($_GET['id'])) {
throw new BadRequestException();
}
$id = (int)$_GET['id'];
Page 50
安全に
int|false
$id = filter_var(
$_GET['id'] ?? '',
FILTER_VALIDATE_INT
);
Page 51
安全に
$id = filter_var(
int|false
$_GET['id'] ?? '',
FILTER_VALIDATE_INT,
['options' => [
'min_range' => 1,
]]);
Page 52
ここでブラウザ開く
https://phpstan.org/try
https://php-play.dev/
Page 61
フィルタには
サニタイズ機能もある
使わないで！！
