先生と生徒の会話形式で理解しよう

生徒

「PHPで入力フォームから受け取った文字を表示するだけなのに、変な記号が表示されてしまいました……」

先生

「それは『特殊文字』が原因かもしれませんね。PHPには、そうした文字を安全に表示するためのエスケープ処理が必要です。」

生徒

「えすけーぷ処理？なんだか難しそう……」

先生

「大丈夫ですよ！htmlspecialcharsやhtmlentitiesというPHPの関数を使えば簡単にできます。では、わかりやすく順番に説明していきましょう！」

-

1. PHPの「特殊文字」とは？

「特殊文字（とくしゅもじ）」とは、HTMLで特別な意味を持つ記号のことです。たとえば、次のような記号です：

<（小なり）
>（大なり）
&（アンパサンド）
"（ダブルクオーテーション）
'（シングルクオーテーション）

これらの文字は、そのままWebページに表示しようとすると、HTMLのタグと誤解されて正しく表示されないことがあります。

2. エスケープ処理とは何か？

エスケープ処理（escape processing）とは、「特殊文字」を画面に正しく表示できるように変換することです。これによって、Webページが正しく動作するだけでなく、セキュリティ対策（クロスサイトスクリプティング対策）としても重要です。

たとえば、次のようなコードをPHPで実行してみましょう。


$user_input = '<script>alert("危険");</script>';
echo $user_input;

このままでは、alertのウィンドウが出てくる危険な動作になる可能性もあるので、エスケープ処理が必須なのです。

3. htmlspecialchars関数の使い方

htmlspecialcharsは、HTMLの特殊文字を「表示用の記号」に変換してくれるPHPの関数です。初心者でも簡単に使えます。

使い方は以下のようになります：


$user_input = '<h1>こんにちは</h1>';
echo htmlspecialchars($user_input);

実行結果：


<h1>こんにちは</h1>

このように、<や>を変換してくれるので、安全に表示できます。

4. htmlentities関数との違い

htmlentitiesも同じくエスケープ処理を行う関数ですが、より多くの文字を変換してくれるという特徴があります。

たとえば：


$text = "5 > 3 と書きたい";
echo htmlentities($text);

実行結果：


5 &amp;gt; 3 と書きたい

これは一見やりすぎにも思えますが、より厳密なセキュリティや表示制御が必要な場面では役立ちます。

-

5. 実際に使い分けてみよう

それぞれの関数の違いを比較してみましょう。


$input = '"こんにちは" & さようなら';

echo htmlspecialchars($input);
// 結果: &quot;こんにちは&quot; &amp; さようなら

echo htmlentities($input);
// 結果: &quot;こんにちは&quot; &amp; さようなら（同じに見えるが、内部的には全部変換）

初心者は、まずhtmlspecialcharsから覚えておくとよいでしょう。

6. エスケープしないとどうなるの？

フォームから送られた入力をそのまま表示すると、悪意のあるコード（スクリプト）を実行されてしまう危険性があります。これは「クロスサイトスクリプティング（XSS）」と呼ばれる攻撃の一種です。

たとえば、次のようなコードをそのまま表示してしまうと……


<script>alert("危険なコード")</script>

このように、安全なサイトでも思わぬトラブルになる可能性があるので、必ずエスケープ処理をしておきましょう。

7. 入力・表示の基本ルール

PHPでのエスケープ処理の基本的な考え方は、次のようになります：

データを表示するとき：必ずhtmlspecialcharsまたはhtmlentitiesを使う
データを保存するとき：エスケープ処理は不要

表示のタイミングで処理するのがポイントです。

8. よくある間違いと注意点

初心者がよくやってしまう間違いに、「保存時にエスケープして、表示時にさらにエスケープする」というものがあります。これでは表示が崩れてしまうことがあります。

正しくは、保存時にはそのまま、表示時だけエスケープ処理をするようにしましょう。

まとめ

この記事では、PHPでよく扱う特殊文字と、それを安全に表示するためのエスケープ処理について詳しく解説しました。PHP初心者にとって、フォーム入力やユーザーから受け取ったデータをそのまま表示することは、一見簡単に思えますが、HTMLの特殊文字や記号が原因で予期しない表示や動作が起こることがあります。たとえば、<、>、&、"、'などの文字は、HTMLタグとして解釈される可能性があるため、適切な処理が必要です。

エスケープ処理とは、こうした特殊文字をHTML上で安全に表示するために変換する操作のことです。PHPではhtmlspecialcharsとhtmlentitiesという二つの関数があり、状況に応じて使い分けることができます。htmlspecialcharsは主要な特殊文字を変換し、シンプルで効率的に安全表示を実現します。一方、htmlentitiesはさらに多くの文字をHTMLエンティティに変換でき、より厳密なセキュリティや表示制御が必要な場合に適しています。

また、エスケープ処理は「表示するとき」に行うのが基本であり、データベースに保存する際に行う必要はありません。保存時にエスケープをかけてしまうと、表示時に再度エスケープすると文字化けや表示崩れの原因になります。このルールを守ることで、PHP初心者でも安全かつ正確にWebページを構築することができます。

サンプルプログラムで復習


$input = '<h2>安全な表示</h2> & 特殊文字';
echo htmlspecialchars($input);
// 結果: <h2>安全な表示</h2> & 特殊文字

echo htmlentities($input);
// 結果: &lt;h2&gt;安全な表示&lt;/h2&gt; &amp; 特殊文字

このように、htmlspecialcharsを使えば基本的な特殊文字は変換され、表示崩れやXSS攻撃から守ることができます。htmlentitiesはより厳密にすべての特殊文字を変換したい場合に適しています。状況に応じて使い分けることが大切です。