【PHP実践】POSTかGETかを判別

HTTPメソッドの基礎とPHPにおけるリクエスト判別

Webアプリケーション開発において、クライアント（ブラウザ）から送信されたリクエストが「どのHTTPメソッドで行われたか」を正確に判別することは、堅牢でセキュアなシステムを構築するための第一歩です。HTTP仕様にはGET、POST、PUT、DELETE、PATCHなど複数のメソッドが存在しますが、Webのトラフィックの大半はGETとPOSTによって占められています。

PHPでは、これらのリクエスト情報はスーパーグローバル変数である$_SERVER配列を通じて提供されます。具体的には、$_SERVER[‘REQUEST_METHOD’]というキーを参照することで、実行中のスクリプトがどのようなメソッドで呼び出されたかを即座に特定可能です。本記事では、単なる判別方法の解説に留まらず、設計思想やセキュリティ、実務でのベストプラクティスまでを網羅的に解説します。

$_SERVER[REQUEST_METHOD]による基本的な判別

PHPにおけるリクエストメソッドの判別は、極めて単純明快です。$_SERVERスーパーグローバル変数に格納された値を比較するだけです。


// 基本的な判別例
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // POSTリクエスト時の処理
    $data = $_POST['data'] ?? null;
} elseif ($_SERVER['REQUEST_METHOD'] === 'GET') {
    // GETリクエスト時の処理
    $id = $_GET['id'] ?? null;
} else {
    // PUTやDELETEなど、他のメソッドが許可されていない場合の処理
    header('HTTP/1.1 405 Method Not Allowed');
    exit('Method Not Allowed');
}

このコードが示す通り、文字列比較を行うだけで判別が可能です。しかし、実務レベルではこの単純な記述だけでは不十分なケースが多々あります。例えば、フレームワークを利用している場合や、RESTful APIを設計する場合、あるいはプロキシサーバーやロードバランサーを経由している場合など、考慮すべき要素は多岐にわたります。

なぜGETとPOSTを厳密に区別する必要があるのか

GETとPOSTを区別する最大の理由は、HTTP仕様における「冪等性（Idempotency）」と「安全性（Safety）」の概念にあります。

GETメソッドは「リソースの取得」を目的としており、サーバーの状態を変化させてはならない（安全である）と定義されています。また、同じリクエストを何度繰り返しても結果が変わらない（冪等である）必要があります。これに対し、POSTメソッドは「リソースの作成や更新」を行うために使用され、安全性も冪等性も保証されません。

もし、GETリクエストの中でデータベースの更新処理（INSERTやUPDATE）を行ってしまうと、検索エンジンのクローラーやブラウザのプリフェッチ機能が意図せずリソースを破壊するリスクが生じます。逆に、POSTでなければならない機密情報の送信をGETで行えば、URLにパラメータが露出するため、ブラウザの履歴やサーバーのアクセスログから情報が漏洩する危険性があります。

フレームワーク環境下での判別と抽象化

現代のPHP開発では、LaravelやSymfonyといったフルスタックフレームワークを利用するのが一般的です。これらのフレームワークでは、生の$_SERVER変数に直接触れることは稀であり、Requestオブジェクトを介してメソッドを判定します。


// Laravelでの例
use Illuminate\Http\Request;

public function store(Request $request)
{
    if ($request->isMethod('post')) {
        // 処理
    }
}

フレームワークを利用するメリットは、単なる判別だけでなく、HTTPメソッドのオーバーライド機能が提供されている点にあります。例えば、古いブラウザや特定のクライアント環境ではPUTやDELETEメソッドを直接送信できない場合があります。この際、リクエストボディやヘッダーに隠しフィールド（_method=PUTなど）を埋め込むことで、サーバー側で強制的にメソッドを差し替えることができます。自前で実装しようとするとセキュリティホールになりがちなこの処理も、フレームワークであればミドルウェアによって安全に管理されています。

セキュリティ上の注意点：クロスサイトリクエストフォージェリ（CSRF）

POSTリクエストを判別する際、単に「POSTかどうか」を確認するだけでは不十分です。POSTリクエストの多くは状態変更を伴うため、CSRF対策が必須となります。

悪意のある第三者が、ユーザーを騙して意図しないPOSTリクエストを送信させる攻撃がCSRFです。これを防ぐためには、POSTリクエストの判別と同時に、トークンの検証を行う必要があります。


// 実践的なCSRF対策を伴うPOST判別
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!isset($_POST['csrf_token']) || !validateToken($_POST['csrf_token'])) {
        // トークン不一致の場合の処理
        http_response_code(403);
        die('Invalid CSRF token');
    }
    // 正常なPOST処理
}

このように、POSTリクエストの判別は「ただの条件分岐」ではなく、「処理の入り口における厳格なバリデーションの開始点」であると認識することが重要です。

RESTful APIにおけるメソッド判別の重要性

RESTful APIを設計する場合、HTTPメソッドはリソースに対する「動詞」として機能します。

– GET: リソースの取得
– POST: リソースの作成
– PUT: リソースの完全な置換
– PATCH: リソースの部分的な更新
– DELETE: リソースの削除

このようにメソッドを正しく使い分けることで、クライアントはAPIの挙動を直感的に理解できるようになります。PHPでこれらをハンドリングする際は、switch文を用いたルーティングの実装がよく見られます。


$method = $_SERVER['REQUEST_METHOD'];

switch ($method) {
    case 'GET':
        handleGet();
        break;
    case 'POST':
        handlePost();
        break;
    case 'PUT':
        handlePut();
        break;
    case 'DELETE':
        handleDelete();
        break;
    default:
        header('HTTP/1.1 405 Method Not Allowed');
        break;
}

この構成をとることで、コードの可読性が高まり、メソッドごとの責務を明確に分離することが可能です。

実務アドバイス：プロキシとヘッダーの考慮

大規模なシステムでは、PHPアプリケーションの前にNginxやAWS ALB（Application Load Balancer）などのプロキシサーバーが存在することが一般的です。ここで注意すべきは、X-HTTP-Method-Overrideヘッダーなどの存在です。

一部のゲートウェイは、特定のヘッダーを解釈してリクエストメソッドを書き換えることがあります。もし自前でルーティングを構築する場合は、$_SERVER[‘REQUEST_METHOD’]を鵜呑みにせず、フレームワークや堅牢なライブラリが提供する「リクエスト情報の抽象化レイヤー」を必ず通すようにしてください。

また、環境変数やデバッグツールを利用した際、意図せずメソッドが偽装されるケースも存在します。開発環境での動作確認時には、必ずリクエストヘッダーをダンプして、予期せぬメソッドの書き換えが発生していないかを確認する癖をつけましょう。

まとめ

PHPにおけるPOSTとGETの判別は、一見すると$_SERVER[‘REQUEST_METHOD’]を比較するだけの単純な作業です。しかし、その背景にはHTTPプロトコルの仕様、冪等性の原則、CSRF対策、そしてRESTfulな設計思想が深く関わっています。

1. 基本的な判別には$_SERVER[‘REQUEST_METHOD’]を使用する。
2. フレームワークを利用している場合は、フレームワークのRequestオブジェクトを活用する。
3. POSTリクエストには必ずCSRF対策を組み込む。
4. GETメソッドで副作用（データ変更）を発生させてはならない。
5. API設計においては、HTTPメソッドを正確に使い分け、ステータスコード（405 Method Not Allowedなど）を適切に返す。

これらを徹底することで、あなたの書くPHPコードはより安全で、メンテナンス性が高く、そしてプロフェッショナルな品質を備えたものになります。単に動くコードを書くのではなく、HTTPの作法に基づいた「正しい」リクエスト処理を実装することこそが、熟練エンジニアへの道です。日々の開発において、常に「このメソッド選択は仕様に則っているか？」という問いかけを忘れないでください。

スポンサーリンク
" "
タイトルとURLをコピーしました