記事内にはプロモーションが含まれることがあります

PHPで画像アップロード機能を実装する方法

PHPで画像アップロード機能を実装する方法 プログラミングの疑問解決

プロフィール写真の設定、ブログ記事への画像挿入、商品画像の登録など、現代のWebアプリケーションにおいて、ユーザーが画像をアップロードする機能は不可欠なものとなっています。

PHPを使えばこの機能を比較的簡単に実装できますが、その一方で、セキュリティ対策を怠るとサーバー乗っ取りなどの深刻な脆弱性を生む危険な入口にもなりかねません。

この記事では、PHPで安全な画像アップロード機能を実装するための全手順を、初心者にもわかりやすく解説します。

HTMLフォームの作成から、サーバーサイドでのファイル受け取り、そして最も重要なセキュリティ検証まで解説しますので、是非参考にしてください。

【本記事の信頼性】

  • 執筆者は元エンジニア
  • 大手プログラミングスクールのWebディレクター兼ライターを経験
  • 自らも地元密着型のプログラミングスクールを運営
忖度一切なし！
受講生から評判の良いプログラミングスクール
スクール
特徴
受講料金
大手比較サイトで4年連続人気NO.1！受講生からの評判も非常に高く、Web系のエンジニアを目指すならRUNTEQ一択。 550,000円（給付金適用あり）
月単価80万円以上の現役エンジニア講師による指導！一度入会すればサポートは半永久的。 498,000円
格安で質の高いWeb制作スキルを習得したい人におすすめ！業界最安級の料金でありながら、コミュニティやサポートが充実。 129,800円～
完全無料でプログラミングが学べる貴重なスクール！最短1ヶ月で卒業可能。ゼロスク運営会社への就職もできる。 無料
長期間に渡って学習し、希少人材を目指す人に最適なスクール！受講料は高いものの、高収入を得られる人材を目指せる。 96～132万円

画像アップロードの全体像

まず、ユーザーのコンピュータにある画像ファイルが、Webサーバーに保存されるまでの大まかな流れを理解してください。

  1. ユーザーがブラウザでHTMLフォームの「ファイルを選択」ボタンを押し、画像ファイルを選択します。
  2. ユーザーが「アップロード」ボタンを押すと、フォームのデータ（画像ファイルを含む）がWebサーバーに送信されます。
  3. サーバーは、受け取った画像ファイルをまず一時的な保管場所（テンポラリディレクトリ）に保存します。
  4. PHPスクリプトが起動し、$_FILESという特別な変数を通じて、一時保存されたファイルの情報（ファイル名、サイズ、場所など）を受け取ります。
  5. スクリプトは、ファイルが本当に画像であるか、サイズは適切か、エラーは発生していないかなど、厳格なセキュリティチェックを実行します。
  6. すべての検証をクリアした場合、スクリプトは一時保管場所にあるファイルを、ウェブサイトの公開ディレクトリなど、恒久的な保存場所に移動させます。

この流れを念頭に置きながら、具体的なコードを見ていきましょう。

ステップ1：ファイルを送信するHTMLフォームの作成

すべての始まりは、ユーザーがファイルを指定するためのHTMLフォームです。

画像アップロード用のフォームには、通常のフォームと異なる2つの重要な「お約束」があります。

  • method属性は必ずpostにする。
  • formタグにenctype="multipart/form-data"という属性を必ず追加する。

enctype="multipart/form-data"は、フォームのデータを複数のパートに分割して送信するための特別なエンコード方式です。

これにより、テキストデータだけでなく、画像のようなバイナリファイルも正しくサーバーに送信できるようになります。

<!DOCTYPE html>
<html lang="ja">
<head>
    <meta charset="UTF-8">
    <title>画像アップロード</title>
</head>
<body>
    <h1>画像アップロードフォーム</h1>
    <form action="upload.php" method="post" enctype="multipart/form-data">
        <p>アップロードする画像を選択してください。</p>
        <input type="file" name="image_file">
        <br><br>
        <input type="submit" value="アップロード">
    </form>
</body>
</html>

このフォームの<input type="file">が、ファイル選択ダイアログを表示する要素です。

name="image_file"という名前が、次のPHPスクリプトでファイル情報を受け取る際のキーになるので、覚えておいてください。

ステップ2：アップロードを処理するPHPスクリプトの基本

次に、HTMLフォームから送信されたファイルを受け取り、処理するPHPスクリプトを作成します。

PHPは、enctype="multipart/form-data"で送信されたファイル情報を、$_FILESという特別なスーパーグローバル変数に自動的に格納してくれます。

$_FILESは連想配列になっており、その構造は以下の通りです。

キー 内容
$_FILES['image_file']['name'] アップロードされた元のファイル名
$_FILES['image_file']['type'] ファイルのMIMEタイプ（例: image/jpeg）
$_FILES['image_file']['size'] ファイルサイズ（バイト単位）
$_FILES['image_file']['tmp_name'] サーバー上の一時ファイルのパス
$_FILES['image_file']['error'] アップロード時のエラーコード

そして、一時ファイルを恒久的な場所に移動させるために、move_uploaded_file()という専用の関数を使います。

この関数は、正当なアップロード処理を経たファイルのみを移動対象とするため、セキュリティ上も安全です。

ステップ3：必須のセキュリティ対策（最重要）

アップロードされたファイルを無条件に保存するのは、サーバーにバックドアを設置するようなもので、極めて危険です。

必ず以下の検証処理を実装してください。

エラーチェック

まず、アップロード処理自体が正常に完了したかを確認します。

$_FILES['image_file']['error']の値がUPLOAD_ERR_OK（値は0）であるかをチェックしましょう。

これ以外の値は、何らかのエラー（ファイルサイズが大きすぎる、ファイルが一部しか届かなかったなど）を示しています。

ファイルサイズ検証

巨大なファイルがアップロードされると、サーバーのディスク容量を圧迫する可能性があります。

$_FILES['image_file']['size']をチェックし、許容する最大サイズを超えていないか検証します。

ファイル形式検証

これが最も重要な検証の一つです。

攻撃者は、.phpなどの実行可能なスクリプトを画像ファイルと偽ってアップロードしようとします。

これを防ぐため、以下の2段階で検証するのが確実です。

  1. 拡張子のチェック: pathinfo()関数などでファイル名の拡張子を取得し、許可する拡張子（jpg, pngなど）のリストに含まれているか確認します。
  2. MIMEタイプのチェック: 拡張子は簡単に偽装できるため、より信頼性の高いMIMEタイプをチェックします。finfo_open()とfinfo_file()を使ってファイルの内容からMIMEタイプを判定し、許可するリスト（image/jpeg, image/pngなど）と一致するかを検証してください。

安全なファイル名の生成

ユーザーがアップロードした元のファイル名をそのままサーバー上で使うのは危険です。

悪意のある文字列（例: ../../...）が含まれている可能性や、他のファイルと名前が重複する可能性があるためです。

安全のため、uniqid()やhash()関数を使って、サーバー側で一意で安全な新しいファイル名を生成し、それに検証済みの拡張子を連結して保存するのがベストプラクティスです。

完成版：安全な画像アップロード処理の全コード

これまでのステップをすべて盛り込んだ、実用的な画像アップロード処理の完成形コードです。

<?php
// POSTメソッドでない場合は処理を中断
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    exit('不正なリクエストです。');
}

try {
    // ファイルがアップロードされているか確認
    if (!isset($_FILES['image_file']) || $_FILES['image_file']['error'] !== UPLOAD_ERR_OK) {
        throw new RuntimeException('ファイルがアップロードされていない、またはアップロード中にエラーが発生しました。');
    }

    $file = $_FILES['image_file'];
    $max_file_size = 5 * 1024 * 1024; // 5MBを最大ファイルサイズに設定

    // ファイルサイズのバリデーション
    if ($file['size'] > $max_file_size) {
        throw new RuntimeException('ファイルサイズが大きすぎます。5MB以下にしてください。');
    }

    // ファイル形式のバリデーション (MIMEタイプと拡張子)
    $allowed_mime_types = ['image/jpeg', 'image/png', 'image/gif'];
    $allowed_extensions = ['jpg', 'jpeg', 'png', 'gif'];

    // MIMEタイプをチェック
    $finfo = new finfo(FILEINFO_MIME_TYPE);
    $mime_type = $finfo->file($file['tmp_name']);
    if (!in_array($mime_type, $allowed_mime_types, true)) {
        throw new RuntimeException('許可されていないファイル形式です。(MIME)');
    }

    // 拡張子をチェック
    $pathinfo = pathinfo($file['name']);
    $extension = strtolower($pathinfo['extension']);
    if (!in_array($extension, $allowed_extensions, true)) {
        throw new RuntimeException('許可されていないファイル形式です。(Extension)');
    }

    // 安全なファイル名の生成
    $new_filename = uniqid('img_', true) . '.' . $extension;

    // 保存先ディレクトリ (Webルートの外側を推奨)
    $upload_dir = 'uploads/';
    if (!is_dir($upload_dir)) {
        // パーミッションをより安全な0755に変更
        mkdir($upload_dir, 0755, true);
    }
    $destination = $upload_dir . $new_filename;

    // 一時ファイルを指定した場所に移動
    if (!move_uploaded_file($file['tmp_name'], $destination)) {
        throw new RuntimeException('ファイルの保存に失敗しました。');
    }

    echo 'ファイルのアップロードが完了しました。';
    echo '<br>';
    echo '保存されたファイル名: ' . htmlspecialchars($new_filename, ENT_QUOTES, 'UTF-8');

} catch (RuntimeException $e) {
    // エラーメッセージをHTMLエスケープして表示
    echo 'エラー: ' . htmlspecialchars($e->getMessage(), ENT_QUOTES, 'UTF-8');
}
?>

【重要】アップロード先のディレクトリについて
このコード例ではuploads/というディレクトリにファイルを保存していますが、このディレクトリがWebから直接アクセスできる場所（ドキュメントルート配下）にある場合、セキュリティリスクが残ります。

理想的なのは、アップロードディレクトリはWebのドキュメントルートの外側に配置し、画像を表示する際はPHPスクリプト経由で読み込むという方法です。

それが難しい場合でも、Apacheサーバーであればuploads/ディレクトリに以下の内容で.htaccessファイルを設置し、スクリプトの実行を無効化する対策を強く推奨します。

.htaccess の例

<Files ~ "\.(php|phtml|php3|php4|php5|php7)$">
  deny from all
</Files>

よくあるエラーと解決策

  • ファイルがアップロードされない、またはエラーが出る: php.iniというPHPの設定ファイルにあるupload_max_filesize（1ファイルあたりの最大サイズ）やpost_max_size（POSTリクエスト全体の最大サイズ）の上限に引っかかっている可能性があります。これらの設定値を確認し、必要であればレンタルサーバーの管理パネルなどで設定を変更してください。
  • move_uploaded_file()でPermission deniedエラーが出る: PHPスクリプトに、ファイルを保存するディレクトリ（この例ではuploads/）への書き込み権限がない場合に発生します。サーバーのパーミッション設定を確認し、Webサーバーの実行ユーザーが書き込めるように権限を変更（例: chmod 755 uploads）する必要があるでしょう。

まとめ

以上、PHPによる画像アップロード機能の実装方法を、セキュリティの観点から詳しく解説しました。

なお、PHPを体系的に学んだり、PHPのスキルを高めたりするためには、プログラミングスクールを利用するのも有効です。

細かな疑問がすぐに解決するだけでなく、現役エンジニアが「質の高いポートフォリオ」を作成するための手助けをしてくれたり、エンジニア就職・転職のコツを教えてくれたりするなど、様々なメリットがありますので、独学に疲れた方は検討してみてはいかがでしょうか。

PHPを学べるプログラミングスクールおすすめ10選【2025年最新版】
Webサービス開発の現場で長年愛用され、今なお多くのシステムで採用されているプログラミング言語「PHP」。 初心者でも比較的学びやすく、豊富な求人数や案件数から将来性も期待できるため、プログラミング学習の第一歩としてPHPを選ぶ方が非常に多...
progneer.net

Follow me!

PAGE TOP