• 3月, 月, 2025
  • PHP
【php8上級/準上級試験】模擬問題解説 問題26 htmlspecialchars() htmlentities() strpos()

「第1回 PHP 8 上級 模擬試験」を解説していきます

本記事ではひたすら下記記事の模擬試験の解説をしていきたいと思います！

第1回 PHP 8 上級 模擬試験
https://study.prime-strategy.co.jp/study/ph8ex1/

解説記事一覧

模擬問題 26

関数 に関する説明の中で、誤っているものを1つ選びなさい。
なお「\」はバックスラッシュに読み替えること。
また、すべてのコードには下記のコードが適切な箇所に書かれているものとする。

declare(strict_types=1);
error_reporting(-1);
下記はマニュアルから一部引用した内容である。

htmlentities ( string $string , int $flags = ENT_COMPAT , string|null $encoding = null , bool $double_encode = true ) : string
htmlspecialchars ( string $string , int $flags = ENT_COMPAT , string|null $encoding = null , bool $double_encode = true ) : string

ENT_COMPAT ダブルクオートは変換しますがシングルクオートは変換しません。
ENT_QUOTES シングルクオートとダブルクオートを共に変換します。
ENT_NOQUOTES シングルクオートとダブルクオートは共に変換されません。

trim ( string $string , string $characters = " \n\r\t\v\0" ) : string
ltrim ( string $string , string $characters = " \n\r\t\v\0" ) : string
rtrim ( string $string , string $characters = " \n\r\t\v\0" ) : string

strpos ( string $haystack , string $needle , int $offset = 0 ) : int|false
文字列 haystack の中で、 needle が最初に現れる位置を探します。
返り値
needle が見つかった位置を、 haystack 文字列の先頭 (offset の値とは無関係) からの相対位置で返します。 文字列の開始位置は 0 であり、1 ではないことに注意しましょう。
needle が見つからない場合は false を返します。

htmlentities() 関数と htmlspecialchars() 関数は、いずれも「文字を HTML エンティティに変換する」。
htmlspecialchars() 関数が「特殊文字」だけであるのに対し、htmlentities() 関数は「適用可能な全ての文字」を変換する。
この関数は、XSS 対策のためのエスケープ処理としてよく使われている。XSS 対策で使う場合、どちらを使ってもよい。
第二引数をデフォルトのままにすると「ダブルクオートは変換するがシングルクオートは変換しない」ので、XSS 対策用には、第二引数を ENT_QUOTES にするとよい。
そのため、以下のコード

$string = '<>&"\'∞';
echo $string, PHP_EOL;
echo htmlspecialchars($string), PHP_EOL;
echo htmlspecialchars($string, ENT_QUOTES), PHP_EOL;
echo htmlentities($string, ENT_QUOTES), PHP_EOL;

を実行すると、結果は次のとおりとなる。

<>&”‘∞
<>&”‘∞
<>&”‘∞
<>&”‘∞

htmlspecialchars() と htmlentities() の違い

  • htmlspecialchars(): HTML で特別な意味を持つ文字（<, >, &, “, ‘）のみを変換します
  • htmlentities(): HTML エンティティに変換可能な全ての文字を変換します（特殊文字に加え、アクセント記号や特殊な言語文字、記号なども変換）

XSS対策としての使い分け

XSS対策としては、どちらを使用するかは以下のポイントで判断します：

  • htmlspecialchars(): 一般的なユーザー入力のエスケープに十分
  • htmlentities(): 国際文字や特殊記号も多く含まれる場合に使用

重要な設定オプション

第二引数（フラグ）の重要な値：

  • ENT_QUOTES: シングルクォートとダブルクォートの両方を変換
  • ENT_HTML5: HTML5の規格に従ってエンコード（PHP 5.4.0以降）
PHP HTML エスケープ関数の比較 元の文字列: $string = ‘<>&”‘∞’; 出力結果: <>&”‘∞ htmlspecialchars() htmlentities() デフォルト設定: htmlspecialchars($string) 出力結果: &lt;&gt;&amp;&quot;’∞ ※ <, >, &, ” のみ変換（’ と ∞ は変換されない） デフォルト設定: htmlentities($string) 出力結果: &lt;&gt;&amp;&quot;’&infin; ※ <, >, &, “, ∞ が変換（’ は変換されない） ENT_QUOTES設定: htmlspecialchars($string, ENT_QUOTES) 出力結果: &lt;&gt;&amp;&quot;&#039;∞ ※ <, >, &, “, ‘ が変換（∞ は変換されない） ENT_QUOTES設定: htmlentities($string, ENT_QUOTES) 出力結果: &lt;&gt;&amp;&quot;&#039;&infin; ※ <, >, &, “, ‘, ∞ 全てが変換される XSS対策として最も安全な使い方: htmlspecialchars($string, ENT_QUOTES, ‘UTF-8’); ※ 特殊文字を含む国際的な文字が多い場合は htmlentities() を検討

問題文の内容は正しい⭕です

trim() 関数は文字列の先頭および末尾にあるホワイトスペースを取り除く。
また、 文字列の最初から空白 (もしくはその他の文字) を取り除く ltrim() 関数、文字列の最後から空白 (もしくはその他の文字) を取り除く rtrim() 関数もある。
第二引数を指定しない場合は 0x20の空白、0x09のタブ、0x0Aのリターン などが削除されるが、引数を指定すると削除したい文字を指定する事も出来る。
そのため、以下のコード

$string = "\t a b\tc\n";
var_dump( trim($string) );
var_dump( trim($string, "\t\n ac") );

を実行すると、結果は次のとおりとなる。

string(5) "a b  c"
string(1) "b"

この説明に誤りはありません。内容は⭕です

ord() 関数は、文字列の先頭バイトを、0 から 255 までの値に変換する。
また chr() 関数は、数値から、1 バイトの文字列を生成する。
そのため、以下のコード

$s = 'abc';
$ascii = ord($s);
var_dump($ascii);

var_dump( chr($ascii) );

$ascii += 5;
var_dump( chr($ascii) );

を実行すると、結果は次のとおりとなる。

int(97)
string(1) "a"
string(1) "

ord()関数とchr()関数について

ord()関数とchr()関数はPHPで文字とASCII値（バイト値）を相互に変換するための関数です。

ord()関数

ord()関数は文字列の先頭バイトのASCII値（または拡張ASCII値）を返します。この値は0〜255の範囲の整数です。

chr()関数

chr()関数は逆の操作を行います。0〜255の整数を受け取り、対応するASCII文字（1バイトの文字列）を返します。

ASCII表: PHPのord()とchr()関数の変換対応表 10進数 文字 PHP関数の例 97 ‘a’ ord(‘a’) → 97 | chr(97) → ‘a’ 98 ‘b’ ord(‘b’) → 98 | chr(98) → ‘b’ 99 ‘c’ ord(‘c’) → 99 | chr(99) → ‘c’ 100 ‘d’ ord(‘d’) → 100 | chr(100) → ‘d’ 101 ‘e’ ord(‘e’) → 101 | chr(101) → ‘e’ 102 ‘f’ ord(‘f’) → 102 | chr(102) → ‘f’ 問題の例解説: $s = ‘abc’; // 文字列の先頭は ‘a’ $ascii = ord($s); // 97 を返す (‘a’ のASCII値)

よって選択肢の内容は正しい⭕です

strpos() 関数は文字列内の部分文字列が最初に現れる場所を見つける。
そのため、以下のコード

$fn = function($needle) {
    $string = 'abc';

    if ( strpos($string, $needle) != false ) {
        echo "{$needle} が見つかりました", PHP_EOL;
    } else {
        echo "{$needle} は見つかりませんでした", PHP_EOL;
    }
};

$fn('a');
$fn('z');

を実行すると、結果は次のとおりとなる。

a が見つかりました
z は見つかりませんでした

strpos()関数

PHP strpos() 関数の動作 0 1 2 3 4 5 6 7 8 9 10 P H P P r o g r a m s 例1: strpos($string, ‘P’) 検索: ‘P’ 最初に見つかる位置: 0 (先頭) 例2: strpos($string, ‘P’, 1) 検索: ‘P’（インデックス1から検索開始） 見つかる位置: 2 (3番目の文字) 注意: if(strpos(…) == false) は先頭 (0) で誤判定！

strpos() 関数は確かに文字列内の部分文字列が最初に現れる位置（インデックス）を返しますが、見つからない場合は false を返します。重要なのは、文字列の先頭（インデックス0）で見つかった場合は 0 を返すことです。

⚠️先頭位置の場合は 0 が返るため注意が必要。

よって問題文は誤り❌です

問題番号正解の選択肢
1PHPの「最新以外の(古い)コード」は、公式サイトでの提供は全くしていない。そのため、古いバージョンのコードが必要な場合、別途「非公式の外部サイト」からソースコードを入手する必要がある。
2論理型 (boolean) は「真偽値」とも呼ばれ、値は true か false か null のいずれかになる。なお、true、false、null の文字は、大文字でも小文字でもよい。
3抽象クラスから継承する際、親クラスで abstract としてマークされた全てのメソッドは子クラスで定義する必要があり、可視性は同等（またはより緩い制約）で、必須引数の数は同じであれば型宣言が異なってもかまわない。
4PHP において、デストラクタは __destruct() メソッドで実装される。親クラスのデストラクタは暗黙的に呼ばれ、呼び出し順序は「子クラスのデストラクタ → 親クラスのデストラクタ」となる。
5__get() はアクセス不能（protected または private）または存在しないプロパティからデータを読み込む際に使用される。なお、__getStatic() は存在せず、オブジェクトや静的コンテキストで動作しない。
6PHP のリファレンス渡しを使用すると、関数内で引数を修正できる。（※※正解テキストでは「呼び出す側で変数に & を付ける必要がある」と記載されています。）
7名前空間は namespace キーワードで宣言する。通常はファイルの先頭に記述する必要があり、名前空間宣言前に書かれたクラスはその名前空間に含まれない。
8PHP 5 では Exception クラスが全例外の基底クラスだったが、PHP 7 以降は Exception クラスは Throwable インタフェースを基底とし、Error クラスが内部エラーの基底クラスとして導入された。
9ArrayAccess インターフェイスは、オブジェクトを配列としてアクセスするための機能を提供する。
10SplFileInfo クラスは、ファイルの情報取得や操作を行うためのクラスである。
11$_COOKIE は、HTTP クッキーから渡された値が連想配列として格納され、また設定も可能である。
12PHP 7.1.x では、文字列操作関数で負のオフセット指定が可能となり、[] や {} による文字単位のアクセスも文字列の末尾からのオフセットとして解釈される。
13可変変数は、スーパーグローバル変数にも使用できる。
14PHP 7.4.x では、波括弧を使った配列や文字列のオフセットアクセスの文法は非推奨となった。
15PHP 8 では、private メソッドの継承に関するルールが変更され、親クラスの同名メソッドの可視性に関係なく子クラスでオーバーライド可能となった。
16break は、現在実行中の for, foreach, while, do-while, switch 構造の実行を終了し、オプションでネストしたループの何段分を抜けるか指定できる。
17XSS 対策として、htmlentities() を適切に使用することで、文字列や配列の入力に対して安全な出力が可能となる。
18アップロードされたファイルの元のファイル名は、$_FILES[‘｛formのnameの値｝’][‘name’] に格納され、move_uploaded_file() の第二引数として利用できる。
19uniqid() と mt_rand() を組み合わせることで、暗号論的にランダムな（推測困難な）トークンを生成できる。
20PHP のセッションでは、セッション ID がクッキーに保存され、session_set_cookie_params() によりそのクッキーのパラメータを設定できる。
21PHP の変数の参照カウントは、xdebug_debug_zval() で確認でき、オブジェクトを clone した場合は内部的に参照が使われ、一時的に参照カウントが増加する。
22DirectoryIterator クラスは、ディレクトリ内のファイルやサブディレクトリの情報を取得するシンプルなインターフェイスを提供する。
23mail() 関数は、メールを送信するための関数で、第四引数で追加のヘッダー情報を指定できる。
24escapeshellarg() と escapeshellcmd() は、外部入力をシェルコマンドの引数として使用する際に必要なエスケープ処理を行い、どちらを使用しても意味合いは同じである。
25stream_wrapper_register() 関数を使用すると、新しいストリームラッパー（プロトコルハンドラ）を登録できるが、既に存在する場合は失敗する。
26strpos() 関数は、文字列内で指定した部分文字列の最初の出現位置を返し、見つからなければ false を返す。ただし、先頭位置の場合は 0 が返るため注意が必要。
27Phar のスタブには __HALT_COMPILER() が使用され、これ以降のコードはコンパイルされない。
28function_exists() 関数は、指定された関数が定義されているかどうかをチェックし、存在すれば true を返す。
29openssl_decrypt() 関数は、openssl_encrypt() で暗号化されたデータを正しく復号し、元のデータを取り戻す。
30strtotime() 関数は、英語形式の日付文字列を Unix タイムスタンプに変換し、無効な日付の場合は false を返す。