先生と生徒の会話形式で理解しよう

生徒

「PHPってホームページを作るときに使う言語ですよね？でもセキュリティが弱いって聞いたことがあります…本当に安全に使えるんですか？」

先生

「PHPは正しく使えばとても安全なプログラミング言語です。ただし、間違った使い方をすると攻撃されやすくなるので、基本的なセキュリティ対策を知っておくことが重要なんです。」

生徒

「セキュリティ対策って専門的で難しそう…。初心者でも分かりますか？」

先生

「もちろん大丈夫ですよ。PHPには“これだけ守れば安全に近づく”というチェックリストがあります。一つひとつ丁寧に説明するので安心してください。」

-

1. PHPのセキュリティが重要な理由

PHPはWebサイトやWebアプリを作るときによく使われる言語で、世界中のシステムで利用されています。そのため、攻撃者に狙われる機会も多く、安全対策がとても大切になります。初心者の方でも「家の鍵をしっかり閉める」ような感覚で、安全のための基本ルールを理解すれば問題ありません。

特に最近では個人情報の取り扱いが厳しくなっており、パスワードや名前などを安全に守れるかどうかはサイト運営において欠かせないポイントです。「セキュリティチェックリスト」は、そのための基盤となる考え方を分かりやすくまとめたものです。

2. 入力値チェック（バリデーション）は必須

ユーザーが入力するデータをそのまま受け取って使うのはとても危険です。例えば検索フォーム、ログインフォーム、お問い合わせフォームなど、文字を入力する場所には必ずチェックが必要です。攻撃者はそこに不正なコードを入れてPHPをだまそうとすることがあります。

入力値チェックとは「この文字は使って良いか？」「この形式で問題ないか？」を調べる作業のことです。家に入る前に「知らない人ではないか」を確認するイメージです。例えばメールアドレスであればメールの形をしているか、数字であれば数字だけで構成されているかを確認します。

PHPの初心者が最も注意すべき攻撃がSQLインジェクションです。これはデータベースに不正な命令を送って情報を盗もうとする攻撃方法です。もし対策をしていないと、パスワードなどの重要データが漏れてしまう可能性があります。

この攻撃を防ぐためには「プリペアドステートメント」という書き方を使うのが基本です。これはデータベースに送る文字列を安全な形に整えてくれる仕組みで、家の鍵を二重にかけるような安心感があります。


$stmt = $pdo->prepare('SELECT * FROM users WHERE email = ?');
$stmt->execute([$email]);

XSS（クロスサイトスクリプティング）は、画面に表示する内容に不正なスクリプトを埋め込む攻撃です。ユーザーが入力したコメントなどをそのまま表示すると、別のユーザーがそのスクリプトを実行させられてしまう危険があります。

これを防ぐには「エスケープ処理」が必要です。エスケープとは、不正なコードが動かないように安全な文字に変換することを意味します。PHPではhtmlspecialcharsという関数を使います。


echo htmlspecialchars($comment, ENT_QUOTES, 'UTF-8');

-

ユーザーのパスワードをそのままデータベースに保存することは絶対にやってはいけない危険な行為です。もし情報が漏れた場合、全員のパスワードがそのまま攻撃者に渡ってしまいます。

そのため、パスワードは暗号化ではなく「ハッシュ化」して保存します。ハッシュ化とは、元の文字に戻せない形に変換する方法です。PHPではpassword_hashとpassword_verifyを使うと安全に扱えます。


$hash = password_hash($password, PASSWORD_DEFAULT);

ログイン状態を記録する「セッション」は、攻撃者に乗っ取られると大変危険です。正しいユーザーのふりをして操作されてしまうからです。これを防ぐには、セッションIDを安全に管理することが重要です。

特にログイン直後にはセッションIDを再発行することでセキュリティを大きく高められます。また、HTTPS接続を使うことで通信内容を暗号化し、情報が盗まれるリスクを減らせます。


session_regenerate_id(true);

サーバー内部のファイルは、誰でも自由に読めたり書けたりしてはいけません。特に設定ファイルやログは攻撃者が見ると危険な情報が含まれていることがあります。ファイルの権限を適切に設定し、不要なアクセスを防ぐことが重要です。

初心者の方は、サーバーの設定が難しく感じるかもしれませんが、「必要以上に開放しない」というルールだけ覚えておけば大きなトラブルは避けられます。

古いバージョンのPHPには、すでに判明している弱点（脆弱性）が含まれていることがあります。これを放置していると、攻撃者に簡単に狙われてしまいます。スマートフォンのアプリをアップデートするのと同じように、PHPも常に最新バージョンを使うことが大切です。

サーバー会社によっては自動的に更新してくれることもありますが、自分で管理している場合は定期的に確認する習慣をつけましょう。