Page 1
入力＋検査＝型安全
Make PHP type safe by validating input
pixiv Inc.
USAMI Kenta
2023-09-16 PHPカンファレンス沖縄2023
Page 8
型がついていない関数(PHP5)
function add($a, $b) {return $a + $b;}
Page 9
スカラー型宣言(PHP7)
int + intって本当にintなの？
function add(int $a, int $b): int {return $a + $b;}
Page 10
広い値をとるにはfloatが必要
ひとつの解決策ではあるが… 不必要にfloatを強制するのか
function add(float $a, float $b): float {return $a + $b;}
Page 11
PHPDocの型注釈(アノテーション)
あえて型宣言を省略する
/*** @param int|float $a* @param int|float $b* @return int|float*/function add($a, $b) {return $a + $b;}
Page 12
ユニオン型宣言 (PHP8.0)
function add(int|float $a, int|float $b): int|float {return $a + $b;}
Page 18
いまやPHPは静的型付きと言っても過言ではない(本当か…？)
Page 33
/** IDから記事を取得 */function getById(int $id): Article{// 中でデータベースに問い合わせ}
Page 36
ここでブラウザ開く
https://phpstan.org/try
Page 37
型なしとはどういう状態か
- ある式の値の型が静的に定まっていない (mixed, TSのunknown/any)
- 型付けされた関数に渡したときに要求された文脈に従っているか
(関数呼び出しをしたときにTypeErrorが出ないか安全だと言いきれない)
- PHPではいろんなところから型なしが吹き出す
- スーパーグローバル、eval、json_decode()、unserialize ()、
PDOStatement::fetch()
Page 38
// ?id=1$_GET['id'] === '1';
Page 39
// ?id=a$_GET['id'] === 'a';
Page 40
// ?id[]=a$_GET['id'] === ['a'];
Page 41
// ?id[foo]=bar$_GET['id'] ===['foo' => 'bar'];
Page 44
// ?id=32x$id = (int)$_GET['id'];$id === 32;
Page 45
if (is_numeric($_GET['id'])) {
throw new BadRequestException();
}$id = (int)$_GET['id'];
Page 49
// ?id=1.23 if (is_numeric($_GET['id'])) {
throw new BadRequestException();
}$id = (int)$_GET['id'];
Page 50
安全に
int|false
$id = filter_var($_GET['id'] ?? '',FILTER_VALIDATE_INT);
Page 51
安全に
int|false
$id = filter_var($_GET['id'] ?? '',FILTER_VALIDATE_INT,['options' => ['min_range' => 1,]]);
