PHPのhiddenフィールドとは？初心者でもわかる使い方とセキュリティ対策をやさしく解説！

1. hiddenフィールドとは？画面に表示しないけど送信される情報

1. hiddenフィールドとは？画面に表示しないけど送信される情報

PHPやHTMLでフォームを作成する際、ユーザーの目には触れさせたくないけれど、プログラムの処理上どうしてもサーバーへ送る必要があるデータが出てきます。そんな時に役立つのが、input type="hidden"、通称「hidden（ヒドゥン）フィールド」です。

「hidden = 隠された」という意味の通り、ブラウザの画面上には何も表示されません。しかし、送信ボタンが押された瞬間、テキストボックスに入力された文字などと一緒に、こっそりと指定した値をサーバーへ届けてくれる便利な仕組みです。

まずは、プログラミングが初めての方でもイメージしやすい、最もシンプルなHTMLの例を見てみましょう。

<form action="confirm.php" method="post">
    <input type="hidden" name="product_id" value="12345">
    <input type="hidden" name="shop_code" value="S001">
    
    <p>「購入する」ボタンを押すと、商品ID（12345）が送信されます。</p>
    <input type="submit" value="購入する">
</form>

このコードをブラウザで開くと、見えるのは「購入する」というボタンと説明文だけです。しかし、ボタンをクリックすると、PHP側では以下のようにデータを受け取ることができます。

// 送られてきたデータをPHPで受け取る例
$id = $_POST['product_id'];
$shop = $_POST['shop_code'];

echo "商品ID：" . $id . "（ショップコード：" . $shop . "）の注文を受け付けました。";

このように、hiddenフィールドを使えば、ユーザーにわざわざ入力してもらう必要のない「システム用の管理番号」などを、スマートに受け渡すことができるようになります。

2. hiddenフィールドが使われる具体例とメリット

2. hiddenフィールドが使われる具体例とメリット

「具体的にどんな場面で使うの？」という疑問にお答えするために、Webサイトでよく見かける3つの代表的な活用シーンを紹介します。hiddenフィールドは、ユーザーに意識させずに「裏側でバトンを渡す」ような役割を持っています。

それでは、プログラミング未経験の方でもイメージしやすいように、ネットショップの「注文ボタン」を例にしたHTMLコードを見てみましょう。

<form action="cart.php" method="post">
    <input type="hidden" name="item_id" value="A1001">
    
    <input type="hidden" name="quantity" value="1">

    <p>人気商品「PHP入門テキスト」をカートに入れますか？</p>
    <input type="submit" value="カートに入れる">
</form>

このコードのポイントは、input type="hidden"と書かれた行が2つあることです。ブラウザで見ると何も表示されませんが、ユーザーが「カートに入れる」ボタンをクリックした瞬間、item_id（商品番号）とquantity（数量）がセットでcart.phpというプログラムに送られます。

もし、これらをhiddenフィールドを使わずに普通の入力ボックス（type="text"）で作ってしまうと、ユーザーが間違えて商品番号を書き換えてしまい、別の商品が届くといったトラブルが起きてしまいます。ユーザーに触らせたくない、かつ画面をスッキリさせたい場合に、このhiddenフィールドが非常に役立つのです。

3. 衝撃の事実！hiddenフィールドは「丸見え」で「書き換え可能」

3. 衝撃の事実！hiddenフィールドは「丸見え」で「書き換え可能」

ここで、Web開発を学ぶ上で絶対に忘れてはいけないセキュリティの超重要ポイントをお伝えします。hiddenフィールドは、あくまで「ブラウザの画面上に表示されない」だけであって、決して「隠し金庫」のような秘密の場所ではありません。

実は、Google Chromeなどのブラウザに標準搭載されている「デベロッパーツール（検証ツール）」を使えば、誰でも簡単にHTMLの中身を覗き見ることができ、さらにその場で値を書き換えることまでできてしまいます。

<input type="hidden" name="price" value="1000">

<input type="hidden" name="price" value="1">

「自分には難しそう…」と思うかもしれませんが、仕組みは単純です。右クリックして「検証」を押すだけで、誰でもソースコードを編集できる状態になるのです。だからこそ、hiddenフィールドにはパスワードやクレジットカード番号、商品の金額といった「書き換えられたら困る重要なデータ」をそのまま入れてはいけません。

4. PHPでhiddenフィールドの値を信用しないことが重要：バリデーションの鉄則

4. PHPでhiddenフィールドの値を信用しないことが重要：バリデーションの鉄則

Web制作において最も大切な考え方は、「ブラウザから送られてくるデータは、すべて悪意を持って書き換えられている可能性がある」と疑うことです。hiddenフィールドはソースコードを見れば誰でも編集できるため、PHP側でのチェック（バリデーション）が欠かせません。

例えば、あなたがWebショップの店員さんだと想像してください。お客様が持ってきた注文票（フォーム）に、元々は1,000円と印字されていたはずの金額が、手書きで「1円」に書き換えられていたら、そのままレジを通しませんよね？プログラムでも同じことが言えます。

// hiddenで送られてきた「金額」をそのまま信じて処理してしまう
$price = $_POST['price']; 
echo "合計" . $price . "円の決済を完了しました。"; 
// これでは、悪意のある書き換えで「1円」にされても気づけません！

このように、金額やユーザー権限、割引率といった「ビジネス上の重要なルール」に直結する値をhiddenフィールドに頼ってはいけません。PHP側では、送られてきたデータが「あらかじめ決めていたルールに沿っているか」「数値として正しい範囲か」を厳格にチェックする仕組みが必要になります。この「疑う姿勢」こそが、安全なWebサイトを作るための第一歩です。

5. セッションやデータベースで確認しよう

5. セッションやデータベースで確認しよう

安全にするには、hiddenフィールドに商品IDだけを入れておき、PHP側でその商品IDに対応する正しい価格や情報を、データベースから読み込んで処理する方法がおすすめです。

session_start();

$product_id = $_POST['product_id'];

// データベースから価格などを取得（ここでは仮の関数）
$product_info = getProductFromDB($product_id);

$price = $product_info['price'];

このようにすれば、ユーザーがhiddenの値を変更しても意味がなくなり、セキュリティも高まります。

6. ワンタイムトークンで不正送信を防ぐ

6. ワンタイムトークンで不正送信を防ぐ

さらにセキュリティを強化するために、「ワンタイムトークン（トークン：使い捨てのカギ）」をhiddenフィールドに入れて、サーバー側でチェックする方法もよく使われます。

これにより、他人が勝手にフォームを真似して送っても、正しく処理されません。

例えば、ログイン中のユーザー専用のトークンをセッションに保存しておき、フォーム送信時に一致するかどうかを確認します。

7. hiddenフィールドは便利だが、使い方を間違えると危険

7. hiddenフィールドは便利だが、使い方を間違えると危険

まとめると、PHPのhiddenフィールドは、ユーザーに見せずにデータを送信したいときに便利な機能です。

でも、パソコンに詳しい人なら中身を見たり変更したりできるので、セキュリティ対策をしないと危険です。

サーバー側で正しいかどうかを確認したり、ワンタイムトークンで不正送信を防いだりすることが大切です。

まとめ

まとめ

PHPでフォームを扱うときに重要になるhiddenフィールドは、画面には表示されないにもかかわらず、サーバーへ確実にデータを送信できる便利な仕組みです。商品IDやユーザー識別番号のように、ユーザーに触れさせたくない情報を自然に送れるため、ショッピングサイトや予約フォームなど幅広い場面で活用されています。 しかし、このhiddenフィールドはあくまで「見えないだけ」であって、「安全なもの」ではありません。ブラウザの検証ツールを使えばすぐに値を変更できてしまうため、PHP側でその値を鵜呑みにすると不正注文や情報改ざんといった問題を引き起こします。 そのため、hiddenフィールドを使うときには、必ずサーバー側でデータの正しさを確認する仕組みが必要になります。商品情報をデータベースから再取得したり、セッションと照らし合わせて正当性を確かめたりするのが基本です。さらに、一度きりのワンタイムトークンを使えば、外部から偽造されたフォーム送信も防止できます。 初心者のうちは、hiddenフィールドをただ便利だからと適当に使ってしまいがちですが、正しい使い方を理解することで、安全性の高いPHPフォームを作れるようになります。特にショッピングカート、ユーザー情報管理、予約システムなどの開発では必須の考え方になるため、この段階でしっかり身につけておくことが将来のスキルアップにもつながります。

hiddenフィールドを使った安全なサンプルコード

以下は、hiddenフィールドとセッションを併用して安全性を高める例です。

    
<form action="check.php" method="post">
    <input type="hidden" name="product_id" value="A2005">
    <input type="hidden" name="token" value="<?php echo $_SESSION['token']; ?>">
    <button type="submit">確認画面へ進む</button>
</form>
    
    

サーバー側では、トークンが一致するかどうかを必ずチェックします。

    
session_start();

if ($_POST['token'] !== $_SESSION['token']) {
    die("不正なアクセスです。");
}

$product_id = $_POST['product_id'];
$product = getProductInfoFromDB($product_id);
    
    

このようにhiddenフィールド単体ではなく、必ずPHPのセッションやデータベースと組み合わせることで、安全な入力フォームが実現できます。 フォーム送信というと見た目のHTMLに意識が向きがちですが、裏側のチェックこそがWebアプリケーションの安定性を支える重要な要素です。hiddenフィールドは便利な反面、扱い方を誤ると危険が伴うため、今回学んだポイントをしっかり押さえて活用していきましょう。

この記事を読んだ人からの質問

この記事を読んだ人からの質問

プログラミング初心者からのよくある疑問／質問を解決します

PHPのhiddenフィールドって何ですか？初心者でもわかりやすく説明してください。

hiddenフィールドとは、HTMLフォームに表示されないけれど、データとしてサーバーに送信される入力項目です。画面上では見えませんが、フォーム送信時に一緒にPHPで受け取れます。

PHPでhiddenフィールドを使うとどんなときに便利ですか？

ショッピングカートのように、商品IDや数量などをユーザーに見せずに送信したいときに便利です。処理に必要な値をこっそり送れます。