filter_var() / filter_input()

// 変数にフィルターを適用する
filter_var($value, $filter, $options);

// $_GET, $_POST, $_COOKIE 等から値を取得してフィルターを適用する
filter_input($type, $var_name, $filter, $options);

sample_filter_var.php

<?php
// メールアドレスのバリデーション
$email = "user@wp-p.info";
if (filter_var($email, FILTER_VALIDATE_EMAIL) !== false) {
	echo "有効なメールアドレスです。\n"; // 検証に通る
}

// 不正なメールアドレスの場合は false が返される
var_dump(filter_var("not-an-email", FILTER_VALIDATE_EMAIL)); // 『bool(false)』と出力される

// URLのバリデーション
$url = "https://wp-p.info";
if (filter_var($url, FILTER_VALIDATE_URL) !== false) {
	echo "有効なURLです。\n";
}

// 整数値のバリデーションで範囲を指定する
$age = "25";
$options = ['options' => ['min_range' => 0, 'max_range' => 150]];
$valid_age = filter_var($age, FILTER_VALIDATE_INT, $options);
if ($valid_age !== false) {
	echo "年齢: " . $valid_age . "\n"; // 『年齢: 25』と出力される
}

// IPアドレスのバリデーション
var_dump(filter_var("192.168.1.1", FILTER_VALIDATE_IP)); // 『string(11) "192.168.1.1"』と出力される
var_dump(filter_var("999.999.999.999", FILTER_VALIDATE_IP)); // 『bool(false)』と出力される

// filter_input() で $_GET の値を安全に取得する
$page = filter_input(INPUT_GET, 'page', FILTER_VALIDATE_INT, [
	'options' => ['min_range' => 1, 'default' => 1]
]);

// サニタイズの例
$dirty_email = "user<script>@wp-p.info";
$clean = filter_var($dirty_email, FILTER_SANITIZE_EMAIL);
echo $clean . "\n"; // 『userscript@wp-p.info』と出力される。『<』と『>』は除去されるが、テキスト（script）は残る

// 数値のサニタイズ
$price_input = "¥1,980円";
$number = filter_var($price_input, FILTER_SANITIZE_NUMBER_INT);
echo $number . "\n"; // 『1980』と出力される

filter_var.php

php filter_var.php
有効なメールアドレスです。
bool(false)
有効なURLです。
年齢: 25
string(11) "192.168.1.1"
bool(false)
userscript@wp-p.info
1980

『filter_var()』はPHPに組み込まれたバリデーション・サニタイズ関数です。外部から受け取るすべてのデータは信頼できないため、処理前に必ずバリデーションを行ってください。メールアドレス、URL、IPアドレス、整数値など、よく使う形式の検証が標準で用意されています。

バリデーションフィルターは値が正しい形式かどうかを判定し、不正な場合は『false』を返します。サニタイズフィルターは不正な文字を除去して安全な値に変換します。一般的にはまずサニタイズを行い、その後にバリデーションで確認する流れが推奨されます。

『filter_input()』は『$_GET』や『$_POST』を直接参照する代わりに、フィルター付きで値を取得できるためより安全です。なお、『FILTER_SANITIZE_STRING』はPHP 8.1で非推奨となりました。HTMLエスケープには『htmlspecialchars()』、パスワードのハッシュ化には『password_hash()』を使用してください。