0

PHPでformを作成しているのですが、input属性をprint関数で表示するにはどうすれば正しいのでしょうか。

<?php
print '<input type="hidden" name="argmt_id" value="'.$r2['argmt_id'].'">';
?>

<?php
print "<input type='hidden' name='argmt_id' value='".$r2['argmt_id']."'>";
?>

よろしくお願いします。

2 件の回答 2

1

HTML の文法上ではタグの属性値はシングルクォートでもダブルクォートでもどちらで括っても構わないことになっています。

attribute values can contain text and character references, with additional restrictions depending on whether they are unquoted attribute values, single-quoted attribute values, or double-quoted attribute values.

したがって単にHTMLをレンダリングして表示するだけなら、どちらであろうと機能的には差はありません。

しかしセキュリティ面まで考慮するならば、次に挙げるエスケープ処理を行うべきです。

  1. HTMLタグの属性値は必ず " ダブルクォートで括る
  2. < > & 等のHTMLで特別に扱われる文字をHTMLエンティティ &lt; &gt; &amp; 等に置換する
  3. HTMLタグ属性値の " で括られた属性値の中にある " をHTMLエンティティ &quot; に置換する

例示されたソースの $2['argmt_id'] に何が入るのかはわかりませんが、HTMLタグの入力を許可しない前提ならば、必ず上記のエスケープ処理を施してください。

セキュリティ対策は自力で行うよりは既存の著名なフレームワークに頼る方が安全で良いのですが、どうしても自力で実装しなければならない事情があるのであれば、一例として次のような function を定義した上で、動的にhtmlを生成する箇所すべてにエスケープ処理を施すようにするのが良いでしょう。

function xssafe($data, $encoding='UTF-8')
{
    return htmlspecialchars($data, ENT_QUOTES | ENT_HTML5, $encoding);
}

...

print '<input type="hidden" name="argmt_id" value="' . xssafe($r2['argmt_id']) . '">';

参考URL:

0

どちらも同じですが
ダブルクォートで囲むhtmlを出力するスタイルでよろしいかと思います。

http://yutaka.hatenablog.jp/entry/2013/06/01/010304

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。