【非推奨】add_magic_quotes()

Q: add_magic_quotes() はなぜ非推奨なのですか？

PHPの magic_quotes_gpc 機能が廃止されたため、WordPressでも非推奨になりました。代わりに wp_slash() を使用してください

Q: add_magic_quotes() の代わりに何を使えばいいですか？

wp_slash() や esc_sql() を使用するのが推奨されます。

Q: 文字列をエスケープする目的で add_magic_quotes() を使うべきですか？

いいえ、非推奨のため wp_slash() や esc_sql() を使いましょう。

Function

2025/7/15 Tuesday

add_magic_quotes() は、文字列に対して自動的にエスケープ処理（バックスラッシュを追加）を行うための関数です。

この関数は、WordPress内部でデータを適切に処理するために使用されます。主に、ユーザーが送信したデータ（例えばフォームの入力値など）を処理する際に、安全性を高める目的で使用されます。ただし、WordPressの新しいバージョンでは非推奨となっており、代わりに wp_slash() などの関数を使用することが推奨されています。

機能の説明

add_magic_quotes() は、文字列や配列の要素に対してスラッシュ（\）を追加することで、SQLインジェクションなどの攻撃を防ぐための関数です。この関数は、データベースへのクエリ実行時に適切なエスケープ処理を行う際に使用されていました。

どんな時に使う？

ユーザーが送信したフォームデータを安全に処理したい場合
SQLクエリに直接データを挿入する前に、エスケープ処理を行いたい場合
配列やオブジェクト内の文字列データにも適用したい場合

シンプルなコード例

$input = "O'Reilly";  
$escaped_input = add_magic_quotes($input);  
echo $escaped_input; // 出力: O\'Reilly

O'Reilly のようにシングルクォートが含まれる文字列に add_magic_quotes() を適用すると、\（バックスラッシュ）が自動的に追加され、O\'Reilly となります。
これにより、データベースに安全に保存できるようになります。

使い方の説明

文字列に対して適用

$input = "It's a test.";
$escaped_input = add_magic_quotes($input);
echo $escaped_input; // 出力: It\'s a test.

文字列の中のシングルクォート（'）が \' にエスケープされる。

配列に対して適用

$data = array(
    "name" => "O'Reilly",
    "comment" => "It's a great book!"
);
$escaped_data = add_magic_quotes($data);
print_r($escaped_data);

出力（エスケープ後）

Array  
(  
    [name] => O\'Reilly  
    [comment] => It\'s a great book!  
)

出力（エスケープ後）

配列のすべての要素に add_magic_quotes() が適用される。
ネストされた配列の要素にも適用可能。

一緒に使うことが多い関連タグ

wp_slash()

add_magic_quotes() の代替として、現在は wp_slash() を使用するのが推奨されています。

$input = "It's a test.";
$escaped_input = wp_slash($input);
echo $escaped_input; // It\'s a test.

wp_slash() は add_magic_quotes() と似ていますが、WordPressの推奨する方法でデータのエスケープ処理を行います。

追加情報で取得したい場合

stripslashes()

add_magic_quotes() によって追加された \ を削除するには、stripslashes() を使用します。

$escaped_string = "It\'s a test.";
$original_string = stripslashes($escaped_string);
echo $original_string; // It's a test.

追加されたスラッシュを元の状態に戻したい場合に便利。

esc_sql()

データベースへ安全にクエリを送信する場合は、esc_sql() を利用するのが推奨されます。

global $wpdb;
$input = "O'Reilly";
$escaped_input = esc_sql($input);
$query = "SELECT * FROM books WHERE author = '$escaped_input'";
$results = $wpdb->get_results($query);

esc_sql() は add_magic_quotes() よりも安全で、SQLインジェクション対策に適している。