8.5　入力された値のチェックを行おう

入力された値のチェックを行おう

8.5 入力された値のチェックを行おう

　Webアプリケーションの画面から入力されるパラメータは、必ずしも正しいデータが入力されるとは限りません。人の手で入力する情報はどんなに注意を払っていても間違えて入力される場合があります。また、悪質なユーザなどが、不正な情報を入力する可能性もあります。そのため、外部に公開するプログラムにおいては、入力されたパラメータのチェックを行う必要があります。
　まずは、入力チェックを行なっていないプログラムを作成し、実際にどのような問題が起きるかを確かめてみましょう。

入力パラメータのチェックを行なわないプログラム

　これは足し算を行うプログラムです。入力フォームに2つの数字を入力し、その計算結果を表示します。

実行結果

アプリケーション構成

① 親フォルダの入力または選択：web_basic/view/ch08
② ファイル名：additionForm1.jsp
③ アクセスURL ：http://localhost:8080/web_basic/view/ch08/additionForm1.jsp

➢　additionForm1.jsp

1<%@page contentType= "text/html; charset=UTF-8" %>
2 
3<html>
4    <head>
5        <title>入力チェックを行わないプログラム</title>
6    </head>
7    <body>
8        <form action="<%= request.getContextPath() %>/AdditionReceiptServlet1" method="get">
9            1つ目の数字：<input type="text" name="num1"><br>
10            2つ目の数字：<input type="text" name="num2"><br>
11                        <input type="submit" value="計算">
12        </form>
13    </body>
14</html>

① ソース・フォルダ：web_basic/WEB-INF/src
② パッケージ：ch08
③ 名前：AdditionReceiptServlet1
④ スーパークラス：javax.servlet.http.HttpServlet
⑤ アクセスURL ：additionForm1.jspからの画面遷移でアクセスされる

➢　AdditionReceiptServlet1.java

1package ch08;
2 
3import java.io.*;
4import javax.servlet.*;
5import javax.servlet.http.*;
6 
7public class AdditionReceiptServlet1 extends HttpServlet {
8 
9    public void doGet(HttpServletRequest request, HttpServletResponse response)
10    throws ServletException, IOException {
11 
12        //入力データの取得
13        String strNum1 = request.getParameter("num1");
14        String strNum2 = request.getParameter("num2");
15 
16        //計算処理の実行
17        int num1 = Integer.parseInt(strNum1);
18        int num2 = Integer.parseInt(strNum2);
19        int answer = num1 + num2;
20 
21        //文字コードの設定と画面表示
22        response.setContentType("text/html; charset=UTF-8");
23        PrintWriter out = response.getWriter();
24        out.println(num1 + "+" + num2 + "の答えは" + answer + "です。");
25    }
26}

➢　web.xml

1<servlet>
2    <servlet-name>AdditionReceiptServlet1Mapping</servlet-name>
3    <servlet-class>ch08.AdditionReceiptServlet1</servlet-class>
4</servlet>
5<servlet-mapping>
6    <servlet-name>AdditionReceiptServlet1Mapping</servlet-name>
7    <url-pattern>/AdditionReceiptServlet1</url-pattern>
8</servlet-mapping>

解説
　このプログラムは、13行目と14行目で入力された2つのパラメータを取得しています。
　　　13：String strNum1 = request.getParameter("num1"); 　　　14：String strNum2 = request.getParameter("num2");

　取得された値はString型のため、17行目と18行目でint型へ変換しています。
　　　17：int num1 = Integer.parseInt(strNum1); 　　　18：int num2 = Integer.parseInt(strNum2);

　19行目ではint型へ変換した2つの値の足し算を行なっています。
　　　19：int answer = num1 + num2;

　24行目で、計算された結果を画面へ出力しています。
　　　24：out.println(num1 + "+" + num2 + "の答えは" + answer + "です。");

　このプログラムで重要な点は、入力するパラメータは足し算が可能な数字である必要があることと、入力のチェックを行なっていないことです。もし、このプログラムに何も入力されなかったり、数字以外の文字が入力されたりした場合、どうなってしまうでしょうか。
　入力チェックが行われていない場合に起きてしまう問題について以下の3つを行い、どのように画面に表示されるか見てみましょう。
　①　テキストボックスを空白のまま計算する。
　②　値に文字を入力して計算する。
　③　フォーム画面を使用せず、サーブレットに直接アクセスする。

①　テキストボックスを空白のまま計算する。
　テキストボックスに値を入力せずに計算ボタンを押すと、以下のエラー画面が表示されます。
　この画面では、「java.lang.NumberFormatException: For input string: “”」と表示されています。テキストボックスは何も入力せずに送信すると「””(空文字)」が入っているものとして扱われるため、int型に変換できないエラーとしてNumberFormatExceptionが発生します。このエラーを回避するためには空白文字のチェックが必要です。

図 8.5.1：空白のまま計算するエラー

②　値に文字を入力して計算する。
　値に文字を入力し計算ボタンを押すと、空白で入力した場合と同じようにint型への変換ができないため、NumberFormatExceptionが発生します。このエラーを回避するためには、入力されたパラメータが数値に変換できるかどうかのチェックが必要です。

図 8.5.2：文字を入力し計算するエラー

③　フォーム画面を使用せず、サーブレットに直接アクセスする。
　フォームを使用せず、サーブレットに直接アクセスするために、以下のURLをブラウザのアドレスバーに入力しましょう。
　http://localhost:8080/web_basic/AdditionReceiptServlet1

　直接サーブレットにアクセスすると、URLの後ろにパラメータが付かないため、getParameter()メソッドを使用した際にデータが無いものとして「null」が変数に代入されます。null値もint型への変換ができないため、NumberFormatExceptionが発生します。このエラーを回避するには、入力されたパラメータがあるかどうかをチェックする必要があります。

図 8.5.3：ダイレクトアクセスによるエラー

　このように、入力チェックを行わないと、想定外のことが実行された場合にすぐにエラーが発生してしまうので、入力チェックは非常に重要です。

入力パラメータのチェックを行なうプログラム

　AdditionReceiptServlet1.javaに入力チェックを追加したプログラムです。数字以外のパラメータが入力されたときに、メッセージを表示します。

実行結果（空文字）

実行結果（文字）

実行結果（ダイレクトアクセス）

アプリケーション構成

① 親フォルダの入力または選択：web_basic/view/ch08
② ファイル名：additionForm2.jsp
③ アクセスURL ：http://localhost:8080/web_basic/view/ch08/additionForm2.jsp

➢　additionForm2.jsp

1<%@page contentType= "text/html; charset=UTF-8" %>
2 
3<html>
4    <head>
5        <title>入力チェックを行うプログラム</title>
6    </head>
7    <body>
8        <form action="<%= request.getContextPath() %>/AdditionReceiptServlet2" method="get">
9            1つ目の数字：<input type="text" name="num1"><br>
10            2つ目の数字：<input type="text" name="num2"><br>
11                        <input type="submit" value="計算">
12        </form>
13    </body>
14</html>

① ソース・フォルダ：web_basic/WEB-INF/src
② パッケージ：ch08
③ 名前：AdditionReceiptServlet2
④ スーパークラス：javax.servlet.http.HttpServlet
⑤ アクセスURL ：additionForm2.jspからの画面遷移でアクセスされる

➢　AdditionReceiptServlet2.java

1package ch08;
2 
3import java.io.*;
4import javax.servlet.*;
5import javax.servlet.http.*;
6 
7public class AdditionReceiptServlet2 extends HttpServlet {
8 
9    public void doGet(HttpServletRequest request, HttpServletResponse response)
10    throws ServletException, IOException {
11  
12        String strNum1 = request.getParameter("num1");  //入力パラメータの取得
13        String strNum2 = request.getParameter("num2");  //入力パラメータの取得
14        String message = null;              //エラーメッセージ用変数
15        int answer = 0;                     //計算結果用変数
16  
17        //入力チェック
18        if(strNum1 == null || strNum2 == null){
19            //ダイレクトアクセス時のエラー設定
20            message = "フォーム画面から入力してね。";
21        }else if(strNum1.equals("") || strNum2.equals("")){
22            //空白の場合のエラー設定
23            message = "何も入力されていませんよ。";
24        }else{
25            try{
26                int num1 = Integer.parseInt(strNum1);
27                int num2 = Integer.parseInt(strNum2);
28                answer = num1 + num2;
29  
30            }catch(NumberFormatException e){
31                //文字が入力された場合のエラー設定
32                message = "数字を入力してね。";
33            }
34        }
35  
36        response.setContentType("text/html; charset=UTF-8");
37        PrintWriter out = response.getWriter();
38  
39        if(message == null){
40            out.println(strNum1 + "+" + strNum2 + "の答えは" + answer + "です。");
41        }else{
42            out.println(message);
43        }
44    }
45 }

➢　web.xml

1<servlet>
2    <servlet-name>AdditionReceiptServlet2Mapping</servlet-name>
3    <servlet-class>ch08.AdditionReceiptServlet2</servlet-class>
4</servlet>
5<servlet-mapping>
6    <servlet-name>AdditionReceiptServlet2Mapping</servlet-name>
7    <url-pattern>/AdditionReceiptServlet2</url-pattern>
8</servlet-mapping>

解説
　このプログラムは、AdditionReceiptServlet1.javaに入力チェックを追加したものです。
　AdditionReceiptServlet2.javaでは、18行目から23行目で入力パラメータの必須チェックを行なっていて、18行目から20行目はパラメータがnullだった場合(ダイレクトアクセスの場合)の処理です。
　　　18：if(strNum1 == null || strNum2 == null){ 　　　20： message = "フォーム画面から入力してね。";

　21行目から23行目はパラメータが空文字の場合の処理です。
　　　21：}else if(strNum1.equals("") || strNum2.equals("")){ 　　　23： message = "何も入力されていませんよ。";

　24行目から34行目までのelseブロックは、パラメータが取得できた場合の処理です。ただし、パラメータが取得できた場合でも、そのパラメータが数値に変換できない可能性があるため、try-catch文を利用してNumberFormatExceptionの例外処理を行なっています。
　　　24：}else{ 　　　25： try{ 　　　26： int num1 = Integer.parseInt(strNum1); 　　　27： int num2 = Integer.parseInt(strNum2); 　　　28： answer = num1 + num2; 　　　29：　　　30： }catch(NumberFormatException e){ 　　　32： message = "数字を入力してね。"; 　　　33： } 　　　34：}

　この3つの入力チェックを追加することで、数字以外の文字や空文字が入力された場合や、ダイレクトにアクセスされてしまった場合でも、プログラムがエラーにならずに済みます。

NEXT>> 8.6 本章のまとめ