pg_escape_stringとhtmlspecialcharsの記述の仕方について

質問

お世話になります。フォームで入力した値をpostでPHPに送ってます。
その際にセキュリティを考えてpg_escape_stringとhtmlspecialchars関数を使用したいのですが、簡単な記述方法が分かりません。
今現在は下記のようにしてます。

$tesuto=pg_escape_string(@$_POST["tesuto"]);
$tesuto="'" .htmlspecialchars($tesuto) ."'";
フォームで入力する項目が20箇所あるので、これをスマートに
記述する方法は無いでしょうか？よろしくお願いします。

回答No.1

myaa_myu · ベストアンサー

ループでまわせば、POSTの値はすべて変換されるのではないでしょうか。

$tesuto = array(); // 変換後のデータを入れる配列
foreach( $_POST as $key => $value ){
$tesuto[$key] = pg_escape_string($value);
$tesuto[$key] = "'" .htmlspecialchars($tesuto[$key]) ."'";
}

これで、pg_escape_string及びhtmlspecialcharsしたデータが、$tesuto[キー名]に保存されます。
（試してないので、文法エラー等でたらごめんなさい；）

お礼

ありがとうございます。出来ました。またよろしくお願いします。

回答No.2

yambejp

セキュリティをかんがえているならPOSTのデータを何の制限もなく
受け取ってはいけませんね。
受け取るキーのリストを作っておいてそれをもとに変数に代入すれば
よいでしょう。
こんな感じでしょうか？

<?PHP
$allowPostkey=Array("a","b"); //POSTのaとbだけ受け取るための配列
foreach($allowPostkey as $val){
$data=&$$val;
$data=$_POST[$val];
$data=pg_escape_string($data);
$data="'" .htmlspecialchars($data) ."'";
}

print "aは{$a}<br>";
print "bは{$b}<br>";
print "cは{$c}<br>";

print<<<eof
<form action={$_SERVER["PHP_SELF"]} method=post>
<input type=input name=a value="<a a a>"><br>
<input type=input name=b value="&amp;"><br>
<input type=input name=c value="<c>"><br>
<input type=submit value="送信">
</form>
eof;
?>

お礼

ありがとうございます。受け取るデータが決まっている部分はご指摘のとおり、行いたいと思います。