ルートのURLにGETパラメータ書いたりする場合、リクエストクラスにデータが入らないのでバリデーショLaravelでメールの承認リンクやパスワードリセットリンク、特定リソースへのアクセスリンクなどを作成する場合、URLに直接パラメータを埋め込んで使うことがあります。しかし、そのままではURLに含まれる値が改ざんされる可能性があるため、バリデーションによる安全性の確保が必要です。
本記事では、LaravelでこうしたURLパラメータを安全に扱うためのバリデーションの方法を具体的に解説します。
INDEX
なぜURLパラメータのバリデーションが必要か？
例えば、以下のようなケースでURLパラメータをよく利用します。
- 確認メールのリンク（例：
/verify-email/{token}） - 承認リンク（例：
/approval/{approvalId}） - RESTfulルートによるリソース指定（例：
/user/{userId}）
これらのパラメータが不正に操作されると、意図しない動作やセキュリティ上のリスクにつながるため、必ずバリデーションが必要となります。
URLパラメータをバリデーションする方法（実践例）
Laravelでは、通常フォームやJSONデータなど、Requestクラスに入るデータをバリデーションします。しかし、URLに埋め込まれたパラメータはControllerのメソッド引数に直接渡されるため、Requestクラスでのバリデーションがそのままでは使えません。
この場合、Controllerの引数から受け取った値をリクエストの配列に追加し、配列を対象にバリデーションを行います。
具体的な実装例
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Validator;
class ApprovalController extends Controller
{
public function approve(Request $request, $approvalId, $userId)
{
// URLパラメータをリクエストデータと結合
$data = array_merge($request->all(), [
'approvalId' => $approvalId,
'userId' => $userId,
]);
// バリデーションルールの定義
$rules = [
'approvalId' => ['required', 'numeric', 'min:1'],
'userId' => ['required', 'numeric', 'exists:users,id'],
];
// バリデーションを実行
$validator = Validator::make($data, $rules);
// バリデーションエラーがあった場合
if ($validator->fails()) {
return redirect()->back()->withErrors($validator)->withInput();
}
// バリデーション成功後の処理を記述
// 例：承認処理やユーザー確認処理を行う
}
}
制限がシンプルな場合は「Route Constraints」を使う
数字のみなど、単純なパターンの制約で十分な場合はLaravelの標準機能である「Route Constraints」を使うのが簡単です。
Route::get('/approval/{approvalId}', [ApprovalController::class, 'approve'])
->where('approvalId', '[0-9]+');
この方法なら、不正な値が来た場合、自動的に404エラーを返してくれます。ただし、データベースの存在チェックなど複雑なバリデーションには使えないため、用途によって使い分けが必要です。
この方法のメリット
- パラメータを不正な操作から守る
- Laravel標準のバリデーション機能をそのまま使える
- 読みやすく、メンテナンス性も良い
まとめ
Laravelで承認リンクやメール認証URLなどを安全に扱うためには、URLパラメータに対するバリデーションが必須です。本記事で紹介した方法を使って、セキュアで堅牢なアプリケーション開発を進めましょう。
