【PHP】フォームのセキュリティ対策｜入力値バリデーションの実装方法

バリデーションが不十分なフォームは、スパムメールの踏み台にされたり、フィッシング詐欺メールの送信に悪用されたりする危険性があります。
また、不正なデータがデータベースに登録されてしまうと、システム全体に影響を及ぼす可能性もあります。

• メールアドレス欄に正しい形式で入力されているか？
• 電話番号欄に数字以外の文字が含まれていないか？
• 年齢欄に現実的な範囲の数値が入力されているか？
• 必須項目が空のまま送信されていないか？

<?php
$email = "test@example.com";

if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
echo "正しいメールアドレスです。";
} else {
echo "メールアドレスの形式が正しくありません。";
}
?>


<?php
function checkMailAddress($mail = "") {
if (preg_match("/^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$/", $mail)) {
return true;
}
return false;
}

if (!checkMailAddress($mail)) {
echo "メールアドレスを正しく入力してください。";
}
?>


特別な理由がない限り、メールアドレスのチェックにはfilter_var()を使うのがおすすめです。
正規表現では対応しきれないケースも多いため、組み込みのフィルター関数を活用しましょう。

<?php
function checkTelNumber($tel) {
// 「0」から始まる10桁または11桁の数字
if (preg_match("/^0\d{9,10}$/", $tel)) {
return true;
}
return false;
}
?>


<?php
function checkTelWithHyphen($tel) {
if (preg_match("/^\d{2,4}-\d{2,4}-\d{4}$/", $tel)) {
return true;
}
return false;
}
?>


<?php
function checkMobileNumber($number) {
// 070・080・090から始まる11桁
if (preg_match("/^0[789]0\d{8}$/", $number)) {
return true;
}
return false;
}
?>


<?php
function checkZenkaku($string) {
// 半角→全角に変換して、元の文字列と比較
if (mb_convert_kana($string, "AK", "UTF-8") !== $string) {
return false; // 半角が混入している
}
return true;
}

$name = "山田太郎";
if (!checkZenkaku($name)) {
echo "氏名は全角で入力してください。";
}
?>


<?php
function checkAge($age) {
// 1～3桁の半角数字のみ許可
if (preg_match("/^\d{1,3}$/", $age)) {
return true;
}
return false;
}
?>


数値のチェックにis_numeric()関数を使うのは避けましょう。
is_numeric()は「1.5」や「0x1A」（16進数）などもtrueと判定するため、意図しない値が通過してしまいます。数値のバリデーションには正規表現を使うのが安全です。

<?php
function checkPostalCode($code) {
// 「3桁-4桁」の形式をチェック
if (preg_match("/^\d{3}-\d{4}$/", $code)) {
return true;
}
return false;
}
?>


<?php
$month = 2;
$day = 30;
$year = 2025;

if (checkdate($month, $day, $year)) {
echo "有効な日付です。";
} else {
echo "無効な日付です。";
}
// 出力：無効な日付です。
?>


<?php
$allowed = ["male", "female", "other"];
$gender = $_POST["gender"];

if (!in_array($gender, $allowed, true)) {
echo "不正な値が送信されました。";
}
?>


<?php
$name = $_POST["name"];
$minLength = 1;
$maxLength = 50;

$nameLength = mb_strlen($name, "UTF-8");

if ($nameLength < $minLength) { echo "氏名を入力してください。"; } elseif ($nameLength > $maxLength) {
echo "氏名は{$maxLength}文字以内で入力してください。";
}
?>


<?php
$message = $_POST["message"];
$minLength = 10;
$maxLength = 2000;

$messageLength = mb_strlen($message, "UTF-8");

if ($messageLength < $minLength) { echo "お問い合わせ内容は{$minLength}文字以上で入力してください。"; } elseif ($messageLength > $maxLength) {
echo "お問い合わせ内容は{$maxLength}文字以内で入力してください。";
}
?>


<?php
function checkLength($value, $min, $max) {
$length = mb_strlen($value, "UTF-8");
if ($length < $min) { return "min_error"; } elseif ($length > $max) {
return "max_error";
}
return "ok";
}

// 使用例
$result = checkLength($_POST["name"], 1, 50);
if ($result === "min_error") {
echo "氏名を入力してください。";
} elseif ($result === "max_error") {
echo "氏名は50文字以内で入力してください。";
}
?>


HTMLのmaxlengthはあくまでブラウザ側の制御です。
悪意あるユーザーは開発者ツールで値を変更したり、HTMLを直接編集して送信できます。テキストボックスもテキストエリアも、サーバー側での文字数チェックを必ず実装しましょう。

<?php
$errors = [];

// 氏名のチェック
if (empty($_POST["name"])) {
$errors[] = "氏名を入力してください。";
} elseif (mb_strlen($_POST["name"], "UTF-8") > 50) {
$errors[] = "氏名は50文字以内で入力してください。";
}

// メールアドレスのチェック
if (empty($_POST["email"])) {
$errors[] = "メールアドレスを入力してください。";
} elseif (!filter_var($_POST["email"], FILTER_VALIDATE_EMAIL)) {
$errors[] = "メールアドレスの形式が正しくありません。";
}

// 電話番号のチェック
if (!empty($_POST["tel"]) && !preg_match("/^0\d{9,10}$/", $_POST["tel"])) {
$errors[] = "電話番号を正しく入力してください。";
}

// エラーがあれば表示
if (!empty($errors)) {
foreach ($errors as $error) {
echo "<p>" . htmlspecialchars($error, ENT_QUOTES, "UTF-8") . "</p>";
}
} else {
echo "入力内容に問題はありません。";
}
?>