PHPでformを作成しているのですが、input属性をprint関数で表示するにはどうすれば正しいのでしょうか。
<?php
print '<input type="hidden" name="argmt_id" value="'.$r2['argmt_id'].'">';
?>
<?php
print "<input type='hidden' name='argmt_id' value='".$r2['argmt_id']."'>";
?>
よろしくお願いします。
HTML の文法上ではタグの属性値はシングルクォートでもダブルクォートでもどちらで括っても構わないことになっています。
attribute values can contain text and character references, with additional restrictions depending on whether they are unquoted attribute values, single-quoted attribute values, or double-quoted attribute values.
したがって単にHTMLをレンダリングして表示するだけなら、どちらであろうと機能的には差はありません。
しかしセキュリティ面まで考慮するならば、次に挙げるエスケープ処理を行うべきです。
"
ダブルクォートで括る<
>
&
等のHTMLで特別に扱われる文字をHTMLエンティティ <
>
&
等に置換する"
で括られた属性値の中にある "
をHTMLエンティティ "
に置換する例示されたソースの $2['argmt_id']
に何が入るのかはわかりませんが、HTMLタグの入力を許可しない前提ならば、必ず上記のエスケープ処理を施してください。
セキュリティ対策は自力で行うよりは既存の著名なフレームワークに頼る方が安全で良いのですが、どうしても自力で実装しなければならない事情があるのであれば、一例として次のような function を定義した上で、動的にhtmlを生成する箇所すべてにエスケープ処理を施すようにするのが良いでしょう。
function xssafe($data, $encoding='UTF-8')
{
return htmlspecialchars($data, ENT_QUOTES | ENT_HTML5, $encoding);
}
...
print '<input type="hidden" name="argmt_id" value="' . xssafe($r2['argmt_id']) . '">';
参考URL:
どちらも同じですが
ダブルクォートで囲むhtmlを出力するスタイルでよろしいかと思います。