URLに含まれるGETパラメータをPHPで扱うことは、動的なWebアプリケーションをつくるうえで必須の技術です。どのように取得するかだけでなく、型・バリデーション・セキュリティなどを最新の方法で押さえておかないと脆弱性が生じます。この記事ではPHPでGETパラメータを取得する基本から実践的な応用、注意点まで詳しく解説します。読み終わるころには「確かなコード」が書けるようになります。
PHP GET パラメータ 取得の基本と用法
PHPでGETパラメータを取得するには、まずスーパグローバル変数$_GETを用いる方法が古典的で基本的です。この配列はURLに含まれるパラメータをキーと値の形で格納します。例えば URLが sample.php?name=tanaka の場合、$_GET[‘name’] で tanaka を取得できます。
ただし直接 $_GET を使うと未定義のキー参照や型が異なるデータの混入といった問題があります。
最新では filter_input() 関数を使う方法が推奨されています。INPUT_GET を指定し、必要であれば FILTER_VALIDATE_INT や FILTER_SANITIZE_SPECIAL_CHARS などを使って型チェックとサニタイズを同時に実行できます。未設定時には null、型不備時には false を返すことで正確な制御が可能です。こうした最新の使い方を理解することが安全なコード作成につながります。
$_GET を使った取得の例
$_GET をそのまま使う方法は簡単です。例えば：
$param = isset($_GET[‘key’]) ? $_GET[‘key’] : null;
echo ‘値は ‘ . htmlspecialchars($param, ENT_QUOTES, ‘UTF-8’);
この例では isset() を使って未設定をチェックし、 htmlspecialchars() を使ってHTMLエスケープしています。こうすることで未定義のパラメータによるエラーを防ぎ、XSS対策がなされます。
filter_input() を使った取得とフィルタリング
filter_input(INPUT_GET, ‘key’, FILTER_VALIDATE_INT) のように書くと、URLパラメータ key を整数として受け取り、形式が不正なら false、未指定なら null を返します。サニタイズ系のフィルタを使えば文字列の特殊文字を除去またはエスケープできます。
例えばページ番号やIDなど、数値が期待されるパラメータには FILTER_VALIDATE_INT を使い、メールアドレスなら FILTER_VALIDATE_EMAIL を使います。サニタイズの場合は FILTER_SANITIZE_SPECIAL_CHARS や FILTER_SANITIZE_URL などを利用して安全性を高めます。
filter_var() と filter_input_array() の活用
filter_var() は既に取得した変数にフィルタを適用する際に使います。$_GET の値をまとめて制御したい場合は filter_input_array(INPUT_GET, $args) を使って複数のパラメータを一度に取得／フィルタリングできます。例えば ID は整数、名前は特殊文字除去という風に定義できます。
複数のパラメータをまとめて扱うことでコードが整理され、型／安全性の管理が楽になります。特にフォームや検索条件など多くの入力があるケースで有効です。
PHP GET パラメータ取得時の型・バリデーション・デフォルト設定
取得したパラメータがどのような型であるか、値の範囲やフォーマットが期待通りかを検証することは重要です。適切な型・バリデーションを設定することで、不正な値がシステムに悪影響を及ぼすことを防ぎ、安全性と信頼性が向上します。
型チェックのためのバリデーション
数値だけを受け取りたい場合は FILTER_VALIDATE_INT を使い、最小・最大値の制限も options を使って設定できます。文字列のメールアドレスやURLの形式もそれぞれ FILTER_VALIDATE_EMAIL、FILTER_VALIDATE_URL を使ってチェックできます。正確に true/false と null を区別するため === など厳密比較を忘れないようにします。
サニタイズの役割と使いどころ
サニタイズは不要な文字や潜在的に危険な文字を除去またはエスケープする操作です。HTML出力する場面では htmlspecialchars() や FILTER_SANITIZE_SPECIAL_CHARS を使い、URLやメールアドレスであればそれぞれに合った FILTER_SANITIZE_URL や FILTER_SANITIZE_EMAIL を使います。これによりクロスサイトスクリプティング（XSS）が防げます。
デフォルト値と未設定時の処理
パラメータがURLに含まれなかったときには null が返ります。false は値があったが形式が不正だった場合です。これらを明確に処理することで予期しない挙動を防ぎます。例えばページネーションやIDが未設定ならデフォルト値を使う、またはエラーメッセージを表示するなどの設計が必要です。
セキュリティと脆弱性対策で押さえておきたいポイント
GETパラメータを取得する際には、セキュリティ上のリスク（SQLインジェクション、XSS、CSRF など）に対策を行うことが欠かせません。撫で肩のコードや習慣的な扱いは後々大きな問題を引き起こすことがあります。ここでは最新の実践で押さえておきたい点を紹介します。
XSS（クロスサイトスクリプティング）への対処
HTML出力する際は常に特殊文字をエスケープします。htmlspecialchars() を使い、ENT_QUOTES などを指定してシングル・ダブルクオートも含めて変換します。なお入力時のサニタイズだけでは不十分で、出力時にエスケープを行うことが基本です。
SQLインジェクション対策
GETパラメータをデータベースクエリに使う際は、必ずプリペアドステートメント（prepare／bind）を使い、値を直接クエリ文字列に埋め込まないようにします。文字列型の場合も安全な型変換を行い、特殊文字を逃がすことで注入攻撃を予防します。
その他の注意点：CSRF、URL操作、過剰な情報漏洩
GETはURLに値が現れるため、機密性の高いデータ（パスワード、トークンなど）は GET を避けるべきです。CSRFトークンを含む操作で GET を用いると攻撃を受けやすくなります。また、アプリケーションが URL を解析する仕組みでは、予期しないパラメータで動作が変わることへの対策が必要です。不要な情報を URL に含めないように設計しましょう。
実践例と応用：GETパラメータを使ったケーススタディ
実際のWebアプリケーションでは、GETパラメータは検索機能、フィルタリング、ページネーション、API のエンドポイント設計など多様な場面で使われます。ここでは応用例とその実装方法を見て、理解を深めます。
ページネーションの実装例
例えば URL に page パラメータを与えてページ番号を取得する場合：
$page = filter_input(INPUT_GET, ‘page’, FILTER_VALIDATE_INT, array(‘options’=>array(‘min_range’=>1, ‘default’=>1)));
// page が未設定または 1 未満の値なら 1 に設定
このようにして、数値チェックとデフォルト値を組み合わせることで、安全で予期しない数値が使われることを防ぎます。検索結果やページネーションがあるサイトでよく使われるパターンです。
フィルタリングや検索条件の適用例
検索やフィルタリング機能では、複数のパラメータを受け取ることが多くなります。例えば category、sort、limit などを GET で受け取り、それぞれに適合するフィルタを設定します。
filter_input_array を使って複数のパラメータを一括取得し、期待する形式のものでないものは無視またはデフォルトに戻します。
REST API や AJAX の GET パラメータ受け渡し例
API や AJAX で GET メソッドを使う場合にも入力パラメータの取得とバリデーションは同じです。unexpected な値が来たらエラー応答を返す設計にし、形式が整っていればそのデータを処理します。JSON を返す API ではステータスコードと共に検証結果を明示することがユーザーにも分かりやすくなります。
互換性と PHP のバージョンによる違い
PHP のバージョンによって推奨される方式やフィルタ機能に若干の差があります。古い PHP バージョンでは FILTER_SANITIZE_STRING が使われていましたが、最新ではその一部が非推奨となり別のフィルタや出力時のエスケープ推奨へ移行しています。こうした変化を把握しておくことが大切です。
古いコードとの互換性を保つ方法
既存コードで $_GET がそのまま使われていたり FILTER_SANITIZE_STRING が多用されていた場合、新しいフィルタや方式に置き換えていく過程で動作確認を行う必要があります。特に文字コード（UTF-8 等）や特殊文字の扱い、空白やNULL の挙動などが異なることがあります。
推奨される PHP の最低バージョンとフィルタ機能
最新の PHP では多数の FILTER_VALIDATE_*，FILTER_SANITIZE_* フィルタが搭載されており、INPUT_GET や INPUT_POST での取得が安全に行えます。最低限 PHP 7 から 8 系であればほぼ全てのフィルタが利用可能です。古いバージョンを使っている場合はアップデートや拡張の導入を検討する必要があります。
入力文字エンコーディングと文字セットの注意
URLパラメータで日本語やUTF-8文字が使われる場合、文字エンコーディングを意識する必要があります。サニタイズやエスケープの際に文字化けしないよう適切な文字セットを使い、必要に応じて rawurlencode やデコードを行うことが重要です。
パフォーマンスとコード設計の最適化
複数のパラメータを扱う際、必要なパラメータだけを取得しフィルタをかけることで無駄な処理を減らせます。コードが複雑になるとメンテナンスコストも上がるため、関数化やクラス設計で整理することがおすすめです。パラメータ取得部分をまとめて管理することでセキュリティや拡張性が向上します。
無関係なパラメータを取得しない設計
URLに余計なパラメータが含まれていることは珍しくありません。必要なキーだけを明示的にチェックし、それ以外は無視する設計が望ましいです。filter_input_array を使って期待するキーのみ定義することで不要データをフィルタリングできます。
再利用性の高い関数・ヘルパーの作成
GET パラメータ取得とフィルタをセットで行うヘルパー関数を用意すると、コードの重複を減らせます。例えば get_get_param(‘key’, ‘int’, $default) のような関数を設けると、型・デフォルト値・バリデーションを統一でき、保守しやすくなります。
ログ記録・エラーハンドリングの実装
不正なパラメータを受け取った場合、ユーザーに分かりやすいエラーメッセージを返すだけでなく、ログに記録しておくことが望ましいです。特に入力が形式チェックを通らなかった場合や予期しない文字エンコーディングだった場合などは理由を明示できるログを残すと後々のトラブル調査に役立ちます。
PHP GET パラメータ取得に関するよくある質問
GETパラメータ取得に関して初心者からよく出る疑問を集め、答えます。これを見て同じような悩みを解消できるようにしています。
isset($_GET[‘key’]) はなぜ必要か
$_GET 配列にキーが存在するかどうかを確認しないと、未定義エラーが出ることがあります。isset() を使うことでキーの未設定状態を扱いやすくなります。また null を返す設定にする設計にしておくと、さらに挙動が明確になります。
$_REQUEST を使うべきか
$_REQUEST は GET, POST, Cookie 全てを含むため便利に見えますが、意図しない入力が混入するリスクがあります。どのメソッドを使うか明確な場合は INPUT_GET や INPUT_POST を直接使う方が安全です。
特殊文字やマルチバイト文字の扱いについて
日本語などマルチバイト文字を含む GET パラメータでは文字エンコーディングが重要です。内部文字エンコードが UTF-8 に設定されていることを確認し、必要に応じて rawurlencode／urldecode を使って適切に処理します。サニタイズや出力時のエスケープも含めて文字化けしないように設計すべきです。
まとめ
PHPで GET パラメータを取得する方法には古典的な $_GET の直接アクセスと、最新の filter_input を用いた方式があります。どちらの場合も「型チェック」「サニタイズ」「未設定・不正値の扱い」の三点をしっかり設計することが重要です。
また XSS・SQLインジェクション・CSRF などの脆弱性に対して、出力時のエスケープやプリペアドステートメントなどの徹底した対策が不可欠です。
必要なパラメータだけを取得しコードを整理して、再利用可能な関数やヘルパーを設置することで保守性と安全性を高めることができます。
これらの知識をもとに、GET パラメータ取得を信頼できる実装として安心して使えるようになるはずです。
コメント