2-4 データの汚染 [PHPセキュリティー]

アプリケーション自身で生成したデータは信頼できます。それ以外のデータはすべて汚染されている可能性があると考えると良いでしょう。PHPにとってそれは入力データです。入力データに関してはフィルタの頁で紹介していますので詳しくはこちらを参照下さい。

以下のようなアプリケーション自身で作成したデータは信頼できます。

$mailは汚染リスクがない信頼できるデータです。$mailに格納されているデータは文字列の「mail@wepicks.net」であり、それ以外ではないということです。

入力フォーム等から渡されてくるデータ $_POST や $_GETなど、あるいは、ブラウザのクッキーから渡されてくるデータ、$_COOKIE、データベースから取得したデータ、これらすべては入力データであり、汚染されている可能性があるということを常に考えてコードを記述するよう心がけましょう。
入力データとはアプリケーション自身で作成したデータ以外のことです。リモートソースを起源とするデータです。フォームやクッキーから渡されるデータは勿論ですが、データベースやセッションコンテナから取得したデータ等も汚染リスクがあると考えてコードを記述した方がよりアプリケーションが安全となります。入力データに関してはフィルタの頁で紹介していますので詳しくはこちらを参照下さい。

汚染リスクのあるデータをどのように処理するかはフィルタの頁で詳しく説明していますので、こちらを参照下さい。