「PHP」を編集中

'''PHP（ピー・エイチ・ピー）'''は、動的にHTMLデータを生成することによって、動的なウェブページを実現することを主な目的としたプログラミング言語、およびその言語処理系である。

Hypertext Preprocessorの略。なんでこれを略してPHPになるのかは不明。<br>HTMLのソースの中に<?php ?>のタグを埋め込むことで動作させることができ、連携がやりやすい。<br>

[[PEAR]]というライブラリがありなにかと便利。<br>
[[Smarty]]というテンプレートエンジンも便利。<br>
サンプルソース：
<div id="manual">
<div class="html-source">
<pre>
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<html lang="ja">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=Shift_JIS">
<meta http-equiv="Content-Style-Type" content="text/css">
<meta http-equiv="Content-Script-Type" content="text/javascript">
<title>PHPのテスト</title>
</head>

<body>
<?php
	<h1>
		print "今日は{date('Y'年'n'月'd'日)}です。
	</h1>
	<p></p>

?>
</body>
</html>
</pre>
</div>
とすると、今日は2007年1月15日です。と表示される。<br>
適当なコードを書くと、XSS(クロスサイトスクリプティング)、ScriptInjection(スクリプトインジェクション)、SQLインジェクションなどの攻撃に対してリスクを抱えることになり危険。
<br>
<br>
注意すべきコード
<dl>
<dt><pre>$_SERVER['PHP_SELF']</pre></dt>
<dd><pre>htmlspecialchars($_SERVER['PHP_SELF'],ENT_QUOTES)</pre>とするほうがいいらしい。
</dd>
<dt><pre>$_REQUEST['hoge']</pre></dt>
<dd><pre>$_GET['hoge'],$_POST['hoge'],$_COOKIE['hoge']</pre>などに限定しないと外部から変数を書き換えられる可能性あり</dd>
<dt>バイナリセーフでない関数</dt>
<dd>
バイナリセーフでないとは文字列中にヌルバイトがあった場合、それ以降の文字列を読み込まないこと。
<pre>ereg_replace()</pre>などをサニタイジングに使うと危険。preg系はバイナリセーフで処理速度もereg系の数倍速いらしいのでこちらを代用。mb_ereg()はバイナリセーフ。
</dd>
<dd>ereg_replace(),eregi(),eregi_replace()</dd>
<dd>split(),spliti()</dd>
<dd>require(),require_once()</dd>
<dd>include(),include_once()</dd>
<dd>fopen(),file_get_contents(),readfile(),basename()</dd>
<dt>SQL文の作成</dt>
<dd>
ユーザ変数をそのまま入力しない<br>
MySQLであればmysql_escape_string(),mysql_real_escape_string()などでサニタイジング
できる。mysql_real_escape_stringはDBに接続した状態でないと使用不可。
</dd>
<dd>
PEARのDBクラスを使うのであれば「プレイスホルダ」というものを使うことができる。
</dd>
<dd>
<div class="html-source">
<?php<br>
//DBクラスの読み込み<br>
require_once("DB.php");<br>
//MySQLサーバに接続
$db=DB::connect("mysql://username:password@hostname/database_name");<br>
//パラメータの指定
$params="hoge";<br>
//SQL文の生成
$sql="SELECT * FROM $dbname WHERE culumn1=?";<br>
//クエリ
$db->query($sql,$params);<br>
?><br>
</div>
</dd>
</dl>
</div>