GETで数値を取得する際のセキュリティ

質問

サイト内検索で検索結果を複数ページに分割して表示する際に、URLにpagesというパラメータを設定して、そこに何ページ目かという数字（整数）を入れています。

一応、色々なサイトを参考にpagesをGETして取得する際のセキュリティ対策については講じたつもりなのですが、自信がありません。以下がその部分のソースです。

$pages = htmlspecialchars($_GET['pages']);
if(preg_match("/.+/",$pages)){
　　　　if(preg_match("/^[0-9]+$/", $pages)){
　　　　　　　　$pages = intval($pages);
　　　　}
　　　　else {
　　　　　　　　$pages = 0;
　　　　}
}
else {
　　　　$pages = 1;
}

仕様としては、pagesが検索結果数から算出される総ページ数に対して正当な整数値だった場合はその数値を、正当でない場合（数値以外も含む）は0を、パラメータが設定されていない場合は1を$pagesに代入します。

上記のソースでどこか危ない部分や改善すべき部分がありましたら、教えてください。

回答No.1

mizutaki · ベストアンサー

http://php.net/manual/ja/function.htmlspecialchars.php
htmlspecialcharsはいくつかの項目をHTMLで出力する際に、そのままの文字列で表示できるように、文字の置き換えをするための関数です。
つまり、文字列を扱う際に使用する関数なので、今回の処理には一切の必要性がありません。

$pages = isset($_GET['pages'][0])? (int)$_GET['pages'] : 1;
この１行であなたが書いたソースコードと基本同じ動きが出来ます。
・三項演算子を使用し、$_GET['pages']の1文字目に何かしらの文字が入っていた場合は、GETの値を数列にキャストする（intvalとまったく同じ動き。(int)の方が少し処理速度が速く、ソースコードが短いくらい。慣れてないならintvalの方が見やすいかも）
文字列が入っていない場合は1を$pagesに代入。
まぁ、pagesに値を入れる際に若干違う処理が入るのであればif文で書く必要があるので、あくまで参考程度

セキュリティに関してはいろんなパターンがあるので、一応にいえないのですが、
文字列を文字列として扱い、保存したり表示する際に、セキュリティの穴が出来やすい。
数列を扱う場合は、使用されると困る数値があるかどうかくらいがキーになります（マイナスとか0,1のみしか許さない部分とか）

お礼

バッチリ動きました。

確かにhtmlspecialcharsは文字列のための関数なんですが、今回もセキュリティ的に必要なのかなと思っていました。

あと、たった1行になるのは驚きでした。しかし、こっちの方が機能的にもスマートなようですね。本当にありがとうございます。