質問: ### 前提・実現したいこと PHPだけとは限らないと思いますが、POSTやGETで値を受け取り それをMYSQLにinsertやupdateをする際にやっておくことは ありますか? ちょっと漠然としていて、申し訳ありませんが、 例えば出力する際は、htmlspecialcharsはすべきだとか、 あると思います。 strip_tagって、やったほうがいいのでしょうか? filter_inputって、やったほうがいいのでしょうか? などなど。。。 全部はきりがないと思いますが、どれくらいするのかな?と 疑問があり、ご意見をいただければと存じます。 現在一応、PDOでPREPAREを使用しております。 これだけでいいのでしょうか??? 社内システム程度のものをロリポップに設置しており、 金銭的な情報は扱わず、どちらかというと日報的な 文字ベースの情報を扱うシステムでのご相談です。 あまりにも漠然とした質問ですが、お付き合い頂けるかたが いらっしゃれば、ぜひ、ご教授ください。 *テーマが重たすぎるので、ある程度のところで解決済みにします。 ### 補足情報(言語/FW/ツール等のバージョンなど) ロリポップのレンタルサーバー
回答: IPAが 安全なwebサイトの作り方 で考え方からチェックシートまで配布していて とてもためになる資料なので一読をお勧めします。 回答としては、全部の変数がプリペアードステートメントで処理されているのであれば、 SQLインジェクションの心配はありません。 また、DBにinsertするタイミングではHTMLエスケープはするべきでは無く、 HTML出力するタイミングで(テンプレートエンジンを使うなりして、原則としてすべての値を)エスケープするというのがここしばらくの主流の考えだと思います。 *これに関しては異論も存在しますし、絶対的なものではありません。