PHP のフォームバリデーション（入力チェック）を完全解説！初心者向けガイド
新人
「PHP のフォームバリデーションって何ですか？」
先輩
「フォームバリデーションとは、ユーザーが入力したデータをチェックすることだよ。たとえば、必須の項目が空欄だったり、メールアドレスの形式が間違っていたりするのを防ぐために使うんだ。」
新人
「なぜバリデーションが必要なんですか？」
先輩
「セキュリティの向上や、ユーザーが正しいデータを入力できるようにするためだよ。実際に見てみよう！」
1. フォームバリデーションとは？
フォームバリデーションとは、ユーザーが入力したデータをチェックし、不正なデータが送信されないようにする仕組みのことです。
たとえば、以下のようなバリデーションがあります。
- 必須項目が入力されているか
- メールアドレスの形式が正しいか
- 入力された文字数が適切か
- 数値のみが入力されているか
バリデーションを行うことで、ユーザーにとってわかりやすいエラーメッセージを表示できるだけでなく、システムの安全性も高まります。
基本的な入力フォーム
まず、シンプルな入力フォームを作成してみましょう。
<form action="validate.php" method="post">
<label for="name">名前：</label>
<input type="text" id="name" name="name">
<label for="email">メールアドレス：</label>
<input type="email" id="email" name="email">
<button type="submit">送信</button>
</form>
このフォームでは、ユーザーが名前とメールアドレスを入力し、送信ボタンを押すと validate.php にデータが送信されます。
2. なぜバリデーションが必要なのか
フォームバリデーションが必要な理由はいくつかあります。
1. セキュリティの向上
バリデーションをしないと、悪意のあるユーザーが不正なデータを送信し、サイトが攻撃を受ける可能性があります。たとえば、SQL インジェクションや XSS（クロスサイトスクリプティング）攻撃のリスクがあります。
2. ユーザー体験の向上
たとえば、メールアドレスの形式が間違っている場合、すぐにエラーメッセージを表示することで、ユーザーが正しい情報を入力できるようになります。
3. データの正確性を確保
システムに保存するデータの品質を高めるためにも、バリデーションが重要です。たとえば、年齢の入力欄に「abc」のような文字列が入力されると、プログラムが正常に動作しなくなる可能性があります。
簡単なバリデーションの実装
それでは、送信されたデータをチェックし、不適切なデータがあればエラーメッセージを表示する基本的な PHP コードを見てみましょう。
<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$errors = [];
if (empty($_POST["name"])) {
$errors[] = "名前を入力してください。";
}
if (empty($_POST["email"])) {
$errors[] = "メールアドレスを入力してください。";
} elseif (!filter_var($_POST["email"], FILTER_VALIDATE_EMAIL)) {
$errors[] = "正しいメールアドレスを入力してください。";
}
if (empty($errors)) {
echo "データが正しく入力されました！";
} else {
foreach ($errors as $error) {
echo htmlspecialchars($error, ENT_QUOTES, 'UTF-8') . "<br>";
}
}
}
?>
このコードでは、名前とメールアドレスが正しく入力されているかをチェックし、エラーメッセージを表示します。もし入力が正しければ、「データが正しく入力されました！」と表示されます。
3. PHP での基本的なバリデーションの方法（入力必須チェック、文字数チェックなど）
PHP では、フォームの入力データをサーバー側でチェックし、適切なデータが送信されるようにバリデーションを行います。
入力必須チェック
必須項目の入力チェックは、データが送信されているかを確認する基本的なバリデーションです。
<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$errors = [];
if (empty($_POST["username"])) {
$errors[] = "ユーザー名は必須です。";
}
if (empty($errors)) {
echo "入力が確認されました。";
} else {
foreach ($errors as $error) {
echo htmlspecialchars($error, ENT_QUOTES, 'UTF-8') . "<br>";
}
}
}
?>
文字数チェック
ユーザーが入力できる文字数を制限することで、データの正確性を保ちます。
<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$errors = [];
if (mb_strlen($_POST["username"]) < 3) {
$errors[] = "ユーザー名は3文字以上で入力してください。";
}
if (mb_strlen($_POST["username"]) > 20) {
$errors[] = "ユーザー名は20文字以内で入力してください。";
}
if (empty($errors)) {
echo "入力が正しく確認されました。";
} else {
foreach ($errors as $error) {
echo htmlspecialchars($error, ENT_QUOTES, 'UTF-8') . "<br>";
}
}
}
?>
4. フォームのデータを適切にチェックする方法（数値チェック、メールアドレスチェックなど）
PHP には、さまざまな入力データのチェック機能が用意されています。
数値チェック
年齢や金額などの数値入力欄には、数値のみが入力されているかを確認します。
<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$errors = [];
if (!is_numeric($_POST["age"])) {
$errors[] = "年齢は数値で入力してください。";
}
if (empty($errors)) {
echo "年齢の入力が正しく確認されました。";
} else {
foreach ($errors as $error) {
echo htmlspecialchars($error, ENT_QUOTES, 'UTF-8') . "<br>";
}
}
}
?>
メールアドレスチェック
PHP の filter_var 関数を使うと、メールアドレスの形式をチェックできます。
<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$errors = [];
if (!filter_var($_POST["email"], FILTER_VALIDATE_EMAIL)) {
$errors[] = "正しいメールアドレスを入力してください。";
}
if (empty($errors)) {
echo "メールアドレスの形式が正しく確認されました。";
} else {
foreach ($errors as $error) {
echo htmlspecialchars($error, ENT_QUOTES, 'UTF-8') . "<br>";
}
}
}
?>
5. エラーがある場合の処理方法（エラーメッセージの表示）
バリデーションの結果、エラーがある場合は、ユーザーにわかりやすい形でエラーメッセージを表示します。
エラーの表示方法
エラーが発生した場合、画面上部に一覧で表示するようにすると、ユーザーにとってわかりやすくなります。
<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$errors = [];
if (empty($_POST["username"])) {
$errors[] = "ユーザー名は必須です。";
}
if (empty($_POST["email"])) {
$errors[] = "メールアドレスは必須です。";
} elseif (!filter_var($_POST["email"], FILTER_VALIDATE_EMAIL)) {
$errors[] = "正しいメールアドレスを入力してください。";
}
if (empty($errors)) {
echo "すべてのデータが正しく入力されました！";
} else {
echo '<div class="alert alert-danger">';
foreach ($errors as $error) {
echo htmlspecialchars($error, ENT_QUOTES, 'UTF-8') . "<br>";
}
echo '</div>';
}
}
?>
エラーメッセージをフォーム内に表示する
エラーが発生した場合、入力フォームの近くにエラーメッセージを表示すると、どこに問題があるのかがわかりやすくなります。
<form action="validate.php" method="post">
<label for="username">ユーザー名：</label>
<input type="text" id="username" name="username" value="<?php echo isset($_POST['username']) ? htmlspecialchars($_POST['username'], ENT_QUOTES, 'UTF-8') : ''; ?>">
<span class="error"><?php echo isset($errors["username"]) ? htmlspecialchars($errors["username"], ENT_QUOTES, 'UTF-8') : ''; ?></span>
<label for="email">メールアドレス：</label>
<input type="email" id="email" name="email" value="<?php echo isset($_POST['email']) ? htmlspecialchars($_POST['email'], ENT_QUOTES, 'UTF-8') : ''; ?>">
<span class="error"><?php echo isset($errors["email"]) ? htmlspecialchars($errors["email"], ENT_QUOTES, 'UTF-8') : ''; ?></span>
<button type="submit">送信</button>
</form>
この方法では、入力が失敗した場合に、エラーメッセージがフォームの近くに表示されるようになります。
6. セキュリティ対策としてのバリデーション（XSS対策、SQLインジェクション対策）
フォームバリデーションは、単に入力ミスを防ぐだけでなく、セキュリティ対策としても重要です。特に以下のような攻撃に注意しましょう。
XSS（クロスサイトスクリプティング）対策
悪意のあるユーザーが HTML や JavaScript をフォームに入力し、サイトの動作を乗っ取る攻撃を XSS と呼びます。これを防ぐために、出力時に htmlspecialchars() を使い、タグが実行されないようにしましょう。
<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$comment = htmlspecialchars($_POST["comment"], ENT_QUOTES, 'UTF-8');
echo "入力されたコメント: " . $comment;
}
?>
SQLインジェクション対策
SQLインジェクションとは、フォームから不正な SQL コードを送信し、データベースを不正操作する攻撃です。これを防ぐためには、プリペアドステートメントを使いましょう。
<?php
$pdo = new PDO("mysql:host=localhost;dbname=test", "user", "password");
$sql = "INSERT INTO users (username, email) VALUES (:username, :email)";
$stmt = $pdo->prepare($sql);
$stmt->bindParam(":username", $_POST["username"], PDO::PARAM_STR);
$stmt->bindParam(":email", $_POST["email"], PDO::PARAM_STR);
$stmt->execute();
?>
7. より高度なバリデーション（カスタムバリデーション、正規表現の活用）
PHP の標準的なバリデーションだけでなく、カスタムバリデーションを作ることで、より細かいチェックが可能になります。
カスタムバリデーションの例
例えば、ユーザー名に「アルファベットのみ」しか許可しない場合、以下のように実装できます。
<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$errors = [];
if (!preg_match("/^[a-zA-Z]+$/", $_POST["username"])) {
$errors[] = "ユーザー名はアルファベットのみで入力してください。";
}
if (empty($errors)) {
echo "ユーザー名が正しく入力されました。";
} else {
foreach ($errors as $error) {
echo htmlspecialchars($error, ENT_QUOTES, 'UTF-8') . "<br>";
}
}
}
?>
電話番号のバリデーション
日本の電話番号（ハイフンあり）をチェックするには、以下のような正規表現を使います。
<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$errors = [];
if (!preg_match("/^\d{2,4}-\d{2,4}-\d{4}$/", $_POST["phone"])) {
$errors[] = "正しい電話番号を入力してください（例: 090-1234-5678）。";
}
if (empty($errors)) {
echo "電話番号が正しく入力されました。";
} else {
foreach ($errors as $error) {
echo htmlspecialchars($error, ENT_QUOTES, 'UTF-8') . "<br>";
}
}
}
?>
8. PHP のフォームバリデーションを学ぶためのおすすめの方法
フォームバリデーションをしっかり学ぶためには、以下の方法を試してみましょう。
1. 実際にコードを書いて試す
基本的なバリデーションのコードを何度も書いて、動作を確認するのが一番の近道です。エラー処理やデバッグも合わせて学びましょう。
2. PHP の公式ドキュメントを読む
PHP の公式サイト（https://www.php.net/manual/ja/）には、フィルタリング関数やバリデーション関数の詳細が記載されています。
3. 実際のプロジェクトで使ってみる
お問合せフォームやログイン機能など、実際のプロジェクトでバリデーションを組み込んでみましょう。実践的な知識が身につきます。
4. セキュリティについて学ぶ
バリデーションはセキュリティ対策の一環としても重要です。XSS や SQLインジェクションなどの攻撃手法を学ぶことで、安全なコードを書くことができます。
