PHPでGETパラメータを取得する方法！安全なデータの受け渡し方

Webアプリケーションを作る際、URLの「?key=value」という形式で値を受け取るGETパラメータの扱いは初歩でありながら、セキュリティ上のリスクを招きやすい部分でもあります。特に外部からの入力をそのまま利用すると、クロスサイトスクリプティングやSQLインジェクションなど重大な被害が発生する可能性があります。このページでは、PHPでGETパラメータを取得する方法を基礎から応用まで、安全に、正確に理解できるように最新の情報をもとに詳しく解説します。

PHP GET パラメータ 取得の基本と仕組み

GETパラメータとは、クエリ文字列に含まれる「key=value」の形式のデータで、Webブラウザやリンクから送られてくる情報です。PHPではこの情報を自動的に解析し、スーパーグローバル変数$_GETとして連想配列に格納します。この変数を通じて送られた値を取得できます。例えばURLが「page.php?user=foo&id=123」のとき、$_GET[‘user’]で”user”に対応する値”foo”を受け取ることができます。

PHPの$_GETはサーバー側でURLのクエリ文字列が存在する限り常に利用可能で、各メソッドや関数のスコープに関係なく扱えます。ただし、期待するキーが存在しない場合には未定義エラーを回避するためにissetやnull合体演算子を使うのが一般的です。

$_GETを使った取得方法

URLパラメータを直接取得する最も基本的な方法は$_GETを使用することです。例として、URLが「script.php?name=example」のとき、$_GET[‘name’]で文字列”example”を得ることができます。存在しないキーを読むと警告を出すことがあるため、isset($_GET[‘name’])で存在確認を行うことが推奨されます。またPHP 7以降では、$_GET[‘name’] ?? ‘デフォルト値’のような書き方で簡潔にデフォルト値を設定できます。

parse_urlとparse_strを使った応用取得

$_GET以外にも、URL全体の文字列を解析してパラメータを取り出す方法があります。parse_url関数でURLを構成要素に分解し、query部分を取得します。その後parse_strを使うと文字列形式のクエリを配列に変換できます。複数のパラメータを一度に取得したい場合や外部サービスのURLを処理する場合に有効です。

filter_inputを使った取得と利点

より安全にGETパラメータを扱いたい場合、filter_inputを使うことで取得と同時に値の正規化・検証が可能です。INPUT_GETと変数名と適切なフィルター（たとえばFILTER_SANITIZE_SPECIAL_CHARSやFILTER_VALIDATE_INTなど）を指定することで、データの整合性を確保できます。未定義の変数ではnull、検証失敗ではfalseが返るため、それぞれを明確に扱う必要があります。

セキュリティに配慮したGETパラメータの取得方法

GETパラメータをそのまま使うと、XSSやSQLインジェクションのような脅威に晒されます。パラメータを受け取る際には必ず
①入力の存在チェック
②型や形式の検証
③出力時のエスケープ
④データベース操作時のプリペアドステートメント使用
を徹底する必要があります。

入力の存在チェックとデフォルト値

$_GET配列にキーが存在しない場合を考慮しないとエラーが発生することがあります。issetでチェックするか、null合体演算子を使ってデフォルト値を設定するのがベストプラクティスです。これにより予想外の未定義変数による動作不良を防げます。

データのサニタイズとバリデーションの使い分け

サニタイズは不要な文字を除去または変換し、データを安全な形式にすることです。一方、バリデーションは与えられたデータが特定のフォーマットや範囲に合致するかをチェックします。filter_inputやfilter_varを活用し、それぞれの用途に応じて使い分けることが重要です。

SQLインジェクションとクロスサイトスクリプティング（XSS）の防止策

GETパラメータをデータベースに挿入する際にはプリペアドステートメントを使用し、直接値をSQLに埋め込まないようにします。またHTMLに出力する際はhtmlspecialcharsなどで特殊文字をエスケープし、悪意のあるスクリプトの注入を防ぎます。これらは重層的な防御として組み合わせることで実効力を持ちます。

PHPの関数・定数を活用した高度な取得方法

基本的な$_GETやfilter_inputに加えて、より細かく制御したい場合には特定のPHP関数や定数を活用できます。たとえば多値パラメータの処理、URLの構造解析、フィルタのオプション指定などが含まれます。これによりより堅牢で再利用性の高いコードを書くことができます。

filter_inputのフィルタとオプション指定

filter_inputではFILTER_SANITIZE系とFILTER_VALIDATE系に加えて、オプション配列を使って範囲指定や正規表現による検証が可能です。例えばFILTER_VALIDATE_INTにmin_rangeおよびmax_rangeを設定して年齢のような値を制限できます。FILTER_SANITIZE_URLやFILTER_SANITIZE_EMAILで形式を整え、目的に応じたフィルタを適用することが望まれます。

多値パラメータと配列形式の扱い

URLパラメータに配列形式（例 param[]=値1&param[]=値2）を含めると、$_GETでは配列として受け取れます。filter_inputやfilter_input_arrayではそれをFILTER_REQUIRE_ARRAYオプションを使い扱うことができます。ループ処理や配列構造のチェックも含めて正確に扱うことが重要です。

parse_urlとparse_strによるURL文字列解析

GETパラメータがURLの一部とか、外部URLを文字列として取得して処理する際にはparse_urlでURLを分解し、parse_strでquery部分をパラメータ配列にする方法があります。これによりURLの構造を理解しやすく、ルーティングや外部APIとの連携などで柔軟な処理が可能です。

実践的なコード例とワークフロー

ここではGETパラメータ取得から処理・出力までの実践例を通して、どのように安全かつ効率的なワークフローを構築するかを示します。コード例は理解を助けるためのもので、自分の用途に応じて修正して使うことができます。

基本例：名前と年齢を受け取って表示する

次の例では、名前（文字列）と年齢（整数）の2つのパラメータを受け取り、それぞれをバリデーション・サニタイズしてから安全に表示します。具体的にはfilter_inputを使い、未指定や不正入力に対して既定値またはエラーメッセージを設定します。これにより予期せぬ入力からアプリケーションを守ります。

<?php
$name = filter_input(INPUT_GET, 'name', FILTER_SANITIZE_SPECIAL_CHARS);
$age = filter_input(INPUT_GET, 'age', FILTER_VALIDATE_INT, [
  'options' => ['min_range' => 0, 'max_range' => 150]
]);

if ($name === null || $name === false) {
  $name = '名無し';
}

if ($age === null || $age === false) {
  $age = 0;
}

echo 'こんにちは '.htmlspecialchars($name).' さん。年齢は '.htmlspecialchars((string)$age).' 歳です。';
?>

応用例：配列形式のパラメータとURL解析

複数の値を同一キーで送る配列形式の処理と、外部URL文字列からパラメータだけを取り出す方法を示します。この技術はタグフィルターやフィルタリング機能など複数選択肢があるUIで便利です。

<?php
// 配列形式の取得
$items = filter_input(INPUT_GET, 'items', FILTER_SANITIZE_SPECIAL_CHARS, FILTER_REQUIRE_ARRAY);
if (!is_array($items)) {
  $items = [];
}

// 外部URL解析
$url = filter_input(INPUT_GET, 'redirect', FILTER_SANITIZE_URL);
if ($url !== null && $url !== false) {
  $parts = parse_url($url);
  if (isset($parts['query'])) {
    parse_str($parts['query'], $queryParams);
    // $queryParamsにキー/値のペアが入る
  }
}
?>

ワークフロー：セキュリティチェックから出力までの流れ

実際の処理フローは次のようになります。これを守ることで安全性と可読性が高くなります。

• パラメータの存在確認（issetまたはfilter_inputでnullチェック）
• 型や形式のバリデーションおよびサニタイズ
• デフォルト値またはエラーハンドリングの設定
• データベース操作時のエスケープまたはプリペアドステートメント使用
• HTML出力時のエスケープ処理

PHPバージョン差異と最新の注意点

PHPのバージョンによっては廃止や非推奨になっている関数や挙動があり、セキュリティや互換性に影響します。最新情報に基づき、使用すべき安全な方法と避けるべき古い手法を理解しておくことが重要です。

FILTER_SANITIZE_STRINGの廃止・代替策

特定のサニタイズフィルターは廃止されたり非推奨になっており、入力のクリーンアップにはより安全で限定的なフィルターを使う方が望ましいです。FILTER_SANITIZE_STRINGは一部のPHPバージョンで非推奨となっており、代わりにFILTER_SANITIZE_SPECIAL_CHARSやREGEXPを併用する方法が推奨されています。

型の厳密性とHTTPメソッドの混同防止

GETパラメータは文字列または配列として取得されるため、数値期待のパラメータには明示的な型変換やFILTER_VALIDATE系でのチェックを入れることが大切です。また、POSTとGETを混同して使うと意図しない動作を招くことがあるため、HTMLフォームのmethod属性との整合性も確認する必要があります。

セキュリティ関連設定・環境依存の注意点

PHPの設定（php.ini）やWebサーバーの構成により、グローバル変数の扱いや入力の自動フィルタリングなど挙動が変化する場合があります。登録可能な最大サイズやHTTPクエリの長さ制限などを確認し、特にENV変数やSERVER変数の扱いにも注意を払う必要があります。

比較表：各取得方法の特徴と使いどころ

より理解を深めるために、代表的なGETパラメータ取得方法を比較します。それぞれのメリットとデメリットを把握してください。

実運用で気を付けることとトラブルシューティング

開発中や本番環境でGETパラメータ取得を扱うときにありがちな問題とその対応例を紹介します。これを押さえておくことでバグやセキュリティ事故を未然に防げます。

未定義キーによるエラーや警告

$_GET[‘param’]でparamが送られていないとNoticeレベルの警告が発生することがあります。これはisset関数で確認するかnull合体演算子やfilter_inputでnullチェックをすることで回避できます。またエラー表示を抑える設定をしておくのも一つです。

UTF-8や文字コードの問題

GETパラメータがマルチバイト文字を含むとデコードや表示で文字化けが起こることがあります。URLエンコードとデコードを意識し、htmlspecialcharsを使って出力する際には適切な文字セットを指定することが大事です。

URLの長さ制限とブラウザ／サーバー制限

GETパラメータは基本的にURLの一部になるため、送信できる文字数に制限があります。特に大量のデータや大きな配列を送る用途には不向きです。サーバーやブラウザによって許可されるURL長が異なるので、長くなる場合はPOSTを使うなど代替手段を検討してください。

まとめ

PHPでGETパラメータを取得する基本は$_GETによる直接アクセスですが、セキュリティを考えるとfilter_inputを使った取得が望ましいです。取得時には存在チェック、バリデーション、サニタイズ、そして出力時のエスケープを必ず行うようにしてください。

実運用では多値パラメータの扱いやURL文字列の解析も必要になることがあります。parse_urlやparse_strを使う場面がそれにあたります。古い機能や非推奨のフィルタは避け、安全な選択肢を選ぶことが運用の継続性に繋がります。

正しい取得方法とセキュリティ対策を組み合わせれば、GETパラメータを安全に使った柔軟で信頼性の高いWebアプリケーションが構築できます。