Web Design Leaves

Require all denied

deny from all

<IfModule mod_authz_core.c>
  Require all denied
</IfModule>
<IfModule !mod_authz_core.c>
  deny from all
</IfModule>

<?php
if (!function_exists('h')) {
  /**
   * エスケープ処理を行う関数
   *
   * @param string|array|null $var チェックする文字列または配列（nullも可）
   * @return string|array エスケープされた文字列または再帰的に処理された配列
   */
  function h($var) {
    if (is_array($var)) {
      //$varが配列の場合、h()関数をそれぞれの要素について呼び出す（再帰）
      return array_map('h', $var);
    } else {
      if ($var === null) return ''; // PHP 8.1.x 対策（null を渡すと Deprecated エラー）
      return htmlspecialchars($var, ENT_QUOTES, 'UTF-8');
    }
  }
}

if (!function_exists('checkInput')) {
  /**
   * 入力値に不正なデータがないかなどをチェックする関数
   *
   * @param string|array $var チェックする文字列または配列
   * @return string|array 入力が正しい場合はそのまま返す。不正な場合はスクリプトを終了する
   */
  function checkInput($var) {
    if (is_array($var)) {
      return array_map('checkInput', $var);
    } else {
      // NULLバイト（\0）攻撃対策
      if (preg_match('/\0/', $var)) {
        die('不正な入力です。');
      }
      // 文字エンコードのチェック
      if (!mb_check_encoding($var, 'UTF-8')) {
        die('不正な入力です。');
      }
      // 改行、タブ以外の制御文字のチェック（[:^cntrl:] は「制御文字以外」を意味するPOSIX文字クラス）
      if (preg_match('/\A[\r\n\t[:^cntrl:]]*\z/u', $var) === 0) {
        die('不正な入力です。制御文字は使用できません。');
      }
      return $var;
    }
  }
}

if (!function_exists('init_session_value')) {
  /**
   * SESSION 値の初期化を行う関数
   * 未定義の場合は空文字列または空の配列を返す
   *
   * @param string  $key セッションキー名（$_SESSION 変数のキー）
   * @param boolean $is_array 配列かどうか（デフォルトは false）
   * @return mixed セッション値、または空文字列・空配列
   */
  function init_session_value($key, $is_array = false) {
    if ($is_array) {
      return $_SESSION[$key] ?? [];
    }
    return $_SESSION[$key] ?? '';
  }
}

if (!function_exists('init_post_value')) {
  /**
   * POST 値の初期化を行う関数
   * 未定義の場合は空文字列を返す
   *
   * @param string  $key キー名（$_POST 変数のキー）
   * @return string 前後の空白を除去した POST された値、または空文字列
   */
  function init_post_value($key) {
    return trim($_POST[$key] ?? '');
  }
}

if (!function_exists('print_error')) {
  /**
   * エラーメッセージを表示する関数
   *
   * @param array  $errors エラー配列（例: $_SESSION['error'] や $error）
   * @param string $key    対象のフォーム項目のキー
   * @return void          エラーメッセージがあればエスケープして出力
   */
  function print_error(array $errors, string $key): void {
    if (isset($errors[$key])) {
      echo h($errors[$key]);
    }
  }
}

if (!function_exists('validate_mail_config')) {
  /**
   * mail_config.php に定義された定数を検証する。
   *
   * @param array $required_emails 必須のメールアドレス定数
   * @param array $optional_emails 任意のメールアドレス定数
   * @param array $required_names  必須の名前定数
   * @param array $optional_names  任意の名前定数
   * @param array $required_keys   その他必須の定数（空文字でないことをチェック）
   * @return void エラーがあれば HTML で表示してスクリプトを終了する。問題がなければ何も返さない。
   */
  function validate_mail_config(
    array $required_emails,
    array $optional_emails,
    array $required_names,
    array $optional_names,
    array $required_keys = []
  ) {
    $errors = [];

    // 必須メール定数のチェック
    foreach ($required_emails as $const) {
      if (!defined($const)) {
        $errors[] = "$const が定義されていません。";
      } elseif (!filter_var(constant($const), FILTER_VALIDATE_EMAIL)) {
        $errors[] = "$const の形式が不正です。";
      }
    }

    // オプションメール定数のチェック（定義されていればチェック）
    foreach ($optional_emails as $const) {
      if (defined($const) && !filter_var(constant($const), FILTER_VALIDATE_EMAIL)) {
        $errors[] = "$const の形式が不正です。";
      }
    }

    // 必須名前定数のチェック（改行禁止）
    foreach ($required_names as $const) {
      if (!defined($const)) {
        $errors[] = "$const が定義されていません。";
      } elseif (preg_match("/[\r\n]/", constant($const))) {
        $errors[] = "$const に改行が含まれています。";
      }
    }

    // オプション名前定数のチェック
    foreach ($optional_names as $const) {
      if (defined($const) && preg_match("/[\r\n]/", constant($const))) {
        $errors[] = "$const に改行文字が含まれています。";
      }
    }

    // その他の必須定数（空文字でないこと）
    foreach ($required_keys as $const) {
      if (!defined($const)) {
        $errors[] = "$const が定義されていません。";
      } elseif (trim(constant($const)) === '') {
        $errors[] = "$const が空です。";
      }
    }

    // エラー表示
    if (!empty($errors)) {
      echo '<h3 style="color:red;">mail_config.php に不正な定義があります:</h3>';
      echo '<ul>';
      foreach ($errors as $error) {
        echo '<li style="color:red;">' . htmlspecialchars($error, ENT_QUOTES, 'UTF-8') . '</li>';
      }
      echo '</ul>';
      exit('mail_config.php の内容を修正してください。');
    }
  }
}

if (!function_exists('redirect_to_contact_input')) {
  /**
   * 入力フォーム（contact.php）へリダイレクトする関数。
   *
   * バリデーションエラー処理やCSRFトークンの失敗時など、「入力画面に戻す」際に使用
   * 再送信を防ぐため HTTP 303 ステータスコードを用いて contact.php へリダイレクトを行う。
   *
   * セッションのロックを明示的に解除することで、
   * リダイレクト先でもセッションの読み書きがブロックされないように配慮している。
   *
   * @return void
   */
  function redirect_to_contact_input() {
    // セッションのロックを解除して他のリクエストがセッションにアクセスできるようにする
    session_write_close();
    // HTTPステータスコード303を送信（POST後のリダイレクトで再送信を防ぐため）
    header('HTTP/1.1 303 See Other');
    // Locationヘッダーでリダイレクト先を指定
    header('Location: contact.php');
    // 以降の処理を終了（リダイレクト実行）
    exit;
  }
}


if (!function_exists('redirect_to_page')) {
  /**
   * 指定されたページへ 303 See Other リダイレクトを行う。
   * redirect_to_contact_input() が機能しない環境で使用することを想定
   *
   * - 現在のスクリプトのディレクトリに対して相対的なパスでページにリダイレクトする。
   * - HTTPS またはリバースプロキシ経由の HTTPS 判定にも対応。
   * - セッションロックを早期に解放してから Location ヘッダーでリダイレクトを行う。
   *
   * @param string $filename リダイレクト先のファイル名（デフォルトは 'contact.php'）。
   *               先頭のスラッシュは自動的に除去される。
   *
   * @return void この関数はリダイレクト後にスクリプトを終了するため、戻り値はない。
   */
  function redirect_to_page($filename = 'contact.php') {
    // 現在実行中のスクリプトのパスからディレクトリ名を取得（例: /contact → "/"）
    $dirname = dirname($_SERVER['SCRIPT_NAME']);
    // ルートディレクトリ ("/") の場合は空文字に置き換える（URL整形のため）
    $dirname = $dirname === DIRECTORY_SEPARATOR ? '' : $dirname;
    // HTTPS接続かどうかを判定（$_SERVER['HTTPS']が空または'off'でなければHTTPS）
    // または、リバースプロキシ環境で 'HTTP_X_FORWARDED_PROTO' が 'https' ならHTTPSとみなす
    $https = (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off') ||
      (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https');
    // 使用するスキーム（http または https）を設定
    $scheme = $https ? 'https://' : 'http://';
    // 渡されたファイル名の先頭スラッシュを削除（例: "/contact.php" → "contact.php"）
    $filename = ltrim($filename, '/');
    // リダイレクト先URLを構築（例: https://example.com/contact.php）
    $url = $scheme . $_SERVER['SERVER_NAME'] . $dirname . '/' . $filename;
    // HTTPステータスコード303を送信（POST後のリダイレクトで再送信を防ぐため）
    header('HTTP/1.1 303 See Other');
    // セッションのロックを解除して他のリクエストがセッションにアクセスできるようにする
    session_write_close();
    // Locationヘッダーでリダイレクト先を指定
    header('Location: ' . $url);
    // 以降の処理を終了（リダイレクト実行）
    exit;
  }
}

<?php
// Silence is golden. 慣習的な表現（「何も表示しないのが一番安全」）

Options -Indexes

Disallow: /includes/

<?php
// このファイルは単体でアクセスされた場合には何も表示しない
if (basename($_SERVER['PHP_SELF']) === basename(__FILE__)) {
  // 直接アクセスされたときの処理（例：403 Forbiddenで終了）
  http_response_code(403);
  exit('Forbidden');
}

// メールの宛先（To）のメールアドレス
define('MAIL_TO', 'info@example.com');
// メールの宛先（To）の名前
define('MAIL_TO_NAME', 'Example');
// メールの送信元（From）のメールアドレス
define('MAIL_FROM', 'info@example.com');
// メールの送信元（From）の名前
define('MAIL_FROM_NAME', 'Example');
// Return-Path に指定するメールアドレス（メール送信が失敗したときにエラーメールを受け取るアドレス）
define('MAIL_RETURN_PATH', 'info@example.com');

// 自動返信メールを送信するかどうか
define('AUTO_REPLY_ENABLED', true);
// 自動返信の返信先名前（AUTO_REPLY_ENABLED を true にして自動返信する場合は必須）
define('AUTO_REPLY_NAME', '自動返信 Example');

// Cc のメールアドレス（オプション）
define('MAIL_CC', 'carbon-copy@example.com');
// Cc の名前（オプション）
define('MAIL_CC_NAME', 'Ccの宛先名');
// Bcc のメールアドレス（オプション）
define('MAIL_BCC', 'blind-cc@example.com');

body {
  font-family: "Helvetica Neue", Arial, sans-serif;
  margin: 0;
  padding: 20px;
  display: flex;
  justify-content: center;
  align-items: center;
}

.container.contact-page {
  background: #fff;
  padding: 30px 40px;
  max-width: 600px;
  width: 100%;
}

.container.contact-page h1, .container.contact-page h2 {
  margin-bottom: 1rem;
  color: #333;
}

.container.contact-page h1 {
  font-size: 24px;
}

.container.contact-page h2 {
  font-size: 20px;
}

.container.contact-page p {
  font-size: 14px;
  margin-bottom: 30px;
  color: #666;
}

.contact-form > div {
  margin-bottom: 20px;
}

@media screen and (max-width: 480px) {

  .container.contact-page {
    padding: 20px;
  }

  .form-button {
    width: 100%;
  }

  .contact-form > div {
    margin-bottom: 24px;
  }
}

.contact-form label {
  display: block;
  font-weight: bold;
  margin-bottom: 8px;
  color: #333;
}

.contact-form input[type="text"],
.contact-form input[type="email"],
.contact-form input[type="tel"],
.contact-form textarea {
  width: 100%;
  padding: 12px 8px;
  border: 1px solid #ccc;
  border-radius: 4px;
  font-size: 14px;
  transition: border-color 0.3s, box-shadow 0.3s;
}

.contact-form input:focus,
.contact-form textarea:focus {
  border-color: #007bff;
  box-shadow: 0 0 0 3px rgba(0, 123, 255, 0.2);
  outline: none;
}

.contact-form textarea {
  resize: vertical;
  min-height: 120px;
}

.form-button {
  background-color: #007bff;
  color: white;
  border: none;
  padding: 12px 24px;
  font-size: 16px;
  border-radius: 8px;
  cursor: pointer;
  transition: background-color 0.3s;
}

.form-button:hover {
  background-color: #0056b3;
}

form.confirm {
  display: inline-block;
  margin-right: 20px;
}
.confirm-forms {
  display: flex;
  flex-wrap: wrap;
  gap: 20px;
}

.container.contact-page .error-php, .container.contact-page .error-js {
  display: block;
  color: #d9534f;
  font-size: 13px;
  margin-top: 4px;
  margin-bottom: 4px;
}

/* 表スタイル */
table.confirm-table {
  width: 100%;
  border-collapse: collapse;
  margin: 20px 0;
  font-size: 14px;
}

table.confirm-table th,
table.confirm-table td {
  padding: 12px 14px;
  border: 1px solid #ddd;
  text-align: left;
  vertical-align: top;
}

table.confirm-table th {
  background-color: #f0f0f0;
  font-weight: bold;
  width: 30%;
  color: #333;
}

table.confirm-table td {
  background-color: #fafafa;
  color: #444;
}

/* 画面幅が小さくなった場合は、縦に並べる */
@media screen and (max-width: 640px) {
  table.confirm-table td, table.confirm-table th{
    display: block;
    width: 100%;
  }
  table.confirm-table td {
    border-top: none;
    border-bottom: none;
  }
}

p.success {
  background-color: #e6f4ea;
  color: #2e7d32;
  padding: 10px 14px;
  border-radius: 6px;
  font-size: 14px;
}

p.fail {
  background-color: #fcebea;
  color: #c9302c;
  padding: 10px 14px;
  border-radius: 6px;
  font-size: 14px;
}

<?php
session_start(); // セッション開始
// セッションIDを更新（セッションハイジャック対策）
session_regenerate_id(); //または session_regenerate_id( true );

// クリックジャッキング対策（.htaccess 側でも設定している場合は不要）
header("X-Frame-Options: SAMEORIGIN");  // 古いブラウザ（IE11など）にも対応
header("Content-Security-Policy: frame-ancestors 'self';"); // 新しいブラウザ向けの設定

// エスケープ処理やバリデーション、セッション補助関数などを含める
require '../includes/helpers.php';
// メール送信に使用する定数を定義
require '../includes/mail_config.php';

// mail_config.php で定義された定数が正しく設定されているか検証（未設定時はエラー終了）
validate_mail_config(
  ['MAIL_TO', 'MAIL_FROM', 'MAIL_RETURN_PATH'], // 必須のメールアドレス定数
  ['MAIL_CC', 'MAIL_BCC'],                      // オプションのメールアドレス定数
  ['MAIL_TO_NAME', 'MAIL_FROM_NAME'],           // 必須の名前定数
  ['MAIL_CC_NAME', 'AUTO_REPLY_NAME']           // オプションの名前定数
);

// セッション変数から値を取得（初回表示時は空、戻ったときは以前の入力値を復元）
$name = init_session_value('name');
$email = init_session_value('email');
$email_check = init_session_value('email_check');
$tel = init_session_value('tel');
$subject = init_session_value('subject');
$body = init_session_value('body');
$error = init_session_value('error', true);

// 毎回新しい CSRF 対策トークンを生成してセッションに保存
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
// トークンを変数に代入（フォームの hidden フィールドに出力するため）
$csrf_token = $_SESSION['csrf_token'];
?>

<!DOCTYPE html>
<html lang="ja">

<head>
  <meta charset="utf-8">
  <meta name="viewport" content="width=device-width, initial-scale=1">
  <meta http-equiv="X-UA-Compatible" content="IE=edge">
  <title>コンタクトフォーム</title>
  <link href="../assets/css/contact-style.css" rel="stylesheet">
</head>

<body>
  <div class="container contact-page">
    <h2>お問い合わせフォーム（確認画面付き）</h2>
    <p>以下のフォームからお問い合わせください。</p>
    <!-- 送信エラーがあった場合 -->
    <?php
    if (!empty($_SESSION['send_error'])) {
      echo '<div class="error-php" role="alert" aria-live="polite">' . h($_SESSION['send_error']) . '</div>';
      unset($_SESSION['send_error']);
    }
    ?>
    <!-- novalidate → HTML5のバリデーションは無効にしてJSで制御 -->
    <form class="js-form-validation contact-form" method="post" action="confirm.php" novalidate>
      <!-- 以下の隠し要素にトークンを埋め込む -->
      <input type="hidden" name="csrf_token" value="<?php echo h($csrf_token); ?>">
      <div>
        <label for="name">お名前（必須）
          <span class="error-php"><?php print_error($error, 'name'); ?></span>
        </label>
        <input
          type="text"
          class="required maxlength"
          data-maxlength="30"
          id="name"
          name="name"
          placeholder="氏名"
          data-error-required="お名前は必須です。"
          value="<?php echo h($name); ?>">
      </div>
      <div>
        <label for="email">Email（必須）
          <span class="error-php"><?php print_error($error, 'email'); ?></span>
        </label>
        <input
          type="email"
          class="required pattern"
          data-pattern="email"
          data-error-required="Email アドレスは必須です。"
          data-error-pattern="Email の形式が正しくないようですのでご確認ください"
          id="email"
          name="email"
          placeholder="Email アドレス"
          value="<?php echo h($email); ?>">
      </div>
      <div>
        <label for="email_check">Email（確認用 必須）
          <span class="error-php"><?php print_error($error, 'email_check'); ?></span>
        </label>
        <input
          type="email"
          class="equal-to required"
          data-equal-to="email"
          data-error-equal-to="メールアドレスが異なります"
          id="email_check"
          name="email_check"
          placeholder="Email アドレス（確認用 必須）"
          value="<?php echo h($email_check); ?>">
      </div>
      <div>
        <label for="tel">電話番号（半角数字）
          <span class="error-php"><?php print_error($error, 'tel'); ?></span>
        </label>
        <input
          type="tel"
          class="pattern"
          data-pattern="tel"
          data-error-pattern="10〜11桁の日本の電話番号を、ハイフンありまたはなしで入力してください。"
          id="tel"
          name="tel"
          placeholder="電話番号（例：090-1234-5678 または 09012345678）"
          value="<?php echo h($tel); ?>">
      </div>
      <div>
        <label for="subject">件名（必須）
          <span class="error-php"><?php print_error($error, 'subject'); ?></span>
        </label>
        <input
          type="text"
          class="required maxlength"
          data-maxlength="100"
          id="subject"
          name="subject"
          placeholder="件名"
          data-error-required="件名は必須です。"
          value="<?php echo h($subject); ?>">
      </div>
      <div>
        <label for="body">お問い合わせ内容（必須）
          <span class="error-php"><?php print_error($error, 'body'); ?></span>
        </label>
        <textarea
          class="required maxlength showCount"
          data-maxlength="1000"
          id="body"
          name="body"
          placeholder="お問い合わせ内容（1000文字まで）をお書きください"
          data-error-required="お問い合わせ内容は必須です。"
          rows="5"><?php echo h($body); ?></textarea>
      </div>
      <button name="confirm" type="submit" class="form-button">確認</button>
    </form>
  </div>
  <!--  検証用の JavaScript の読み込み -->
  <script src="../assets/js/form-validation.js"></script>
</body>

</html>

<div>
  <label for="name">お名前（必須）
    <span class="error-php"><?php print_error($error, 'name'); ?></span>
  </label>
  <input type="text" class="required maxlength" data-maxlength="30" id="name" name="name" placeholder="氏名" data-error-required="お名前は必須です。" value="<?php echo h($name); ?>">
</div>

<script src="../assets/js/form-validation.js"></script>

// バリデーションスクリプト（検証用の JavaScript ）
document.addEventListener("DOMContentLoaded", () => {
  // バリデーション対象のフォーム要素を取得
  const validationForm = document.querySelector(".js-form-validation");

  // フォーム送信済みフラグ（エラーメッセージの重複表示を防ぐために使用）
  let hasSubmittedOnce = false;

  // エラー表示に使うクラス名
  const errorClassName = "error-js";

  // フォームが存在しない場合は処理を中断
  if (!validationForm) return;

  // 各種バリデーション対象の要素を取得
  const requiredElems = document.querySelectorAll(".required");
  const patternElems = document.querySelectorAll(".pattern");
  const equalToElems = document.querySelectorAll(".equal-to");
  const minlengthElems = document.querySelectorAll(".minlength");
  const maxlengthElems = document.querySelectorAll(".maxlength");
  const showCountElems = document.querySelectorAll(".showCount");

  /**
   * エラーメッセージを表示
   */
  const addError = (elem, className, defaultMessage) => {
    if (hasSubmittedOnce) {
      // 既存のエラーを除去（重複防止）
      removeError(elem, className);

      // data-error-xxx 属性があれば使い、なければデフォルトメッセージを表示
      let errorMessage =
        elem.getAttribute(`data-error-${className}`) || defaultMessage;

      // エラーメッセージ用の要素を作成して追加
      const errorSpan = document.createElement("span");
      errorSpan.classList.add(errorClassName, className);
      errorSpan.setAttribute("aria-live", "polite"); // 音声読み上げ対応
      errorSpan.textContent = errorMessage;
      elem.parentNode.appendChild(errorSpan);
    }
  };

  /**
   * エラーメッセージを削除
   */
  const removeError = (elem, className) => {
    const errorSpan = elem.parentElement.querySelector(
      `.${errorClassName}.${className}`
    );
    if (errorSpan) errorSpan.remove();
  };

  /**
   * マルチバイト対応の文字数カウント
   */
  const getValueLength = (value) =>
    (value.match(/([\uD800-\uDBFF][\uDC00-\uDFFF]|[\s\S])/g) || []).length;

  /**
   * 必須項目のバリデーション
   */
  const isValueMissing = (elem) => {
    const className = "required";

    if ((elem.type === "radio" || elem.type === "checkbox") && elem.name) {
      // ラジオ・チェックボックスは同じnameのグループで判定
      const group = validationForm.querySelectorAll(`[name="${elem.name}"]`);
      const checked = [...group].some((el) => el.checked);
      if (!checked) {
        addError(elem, `${className}`, "選択は必須です");
        return true;
      }
      group.forEach((el) => removeError(el, `${className}`));
      return false;
    }

    // その他の要素
    if (!elem.value.trim()) {
      addError(
        elem,
        className,
        elem.tagName === "SELECT" ? "選択は必須です" : "入力は必須です"
      );
      return true;
    }

    removeError(elem, className);
    return false;
  };

  /**
   * パターン（正規表現）バリデーション
   */
  const isPatternMismatch = (elem) => {
    const className = "pattern";
    const patternType = elem.getAttribute("data-pattern");
    let pattern;
    let value = elem.value;

    // 電話番号（ハイフンを除去した値を検証に使用：10〜11桁の日本の電話番号）
    if (patternType === "tel") {
      value = value.replace(/-/g, "");
      pattern = /^0\d{9,10}$/;
    } else if (patternType === "email") {
      // Email アドレス
      pattern =
        /^([a-z0-9\+_\-]+)(\.[a-z0-9\+_\-]+)*@([a-z0-9\-]+\.)+[a-z]{2,6}$/iu;
    } else {
      // data-pattern 属性にパターンが指定された場合
      try {
        pattern = new RegExp(`^${patternType}$`);
      } catch {
        return false;
      }
    }

    if (value && !pattern.test(value)) {
      addError(elem, className, "入力された値が正しくないようです");
      return true;
    }

    removeError(elem, className);
    return false;
  };

  /**
   * 他の入力と一致しているか（確認用）
   */
  const isNotEqualTo = (elem) => {
    const className = "equal-to";
    const target = document.getElementById(elem.getAttribute("data-equal-to"));
    if (target && elem.value && target.value && elem.value !== target.value) {
      addError(elem, className, "入力された値が一致しません");
      return true;
    }
    removeError(elem, className);
    return false;
  };

  /**
   * 最小文字数バリデーション
   */
  const isTooShort = (elem) => {
    const className = "minlength";
    const minlength = parseInt(elem.getAttribute("data-minlength"), 10);
    const valueLength = getValueLength(elem.value);
    if (elem.value && valueLength < minlength) {
      addError(elem, className, `${minlength}文字以上で入力ください`);
      return true;
    }
    removeError(elem, className);
    return false;
  };

  /**
   * 最大文字数バリデーション
   */
  const isTooLong = (elem) => {
    const className = "maxlength";
    const maxlength = parseInt(elem.getAttribute("data-maxlength"), 10);
    const valueLength = getValueLength(elem.value);
    if (elem.value && valueLength > maxlength) {
      addError(elem, className, `${maxlength}文字以内で入力ください`);
      return true;
    }
    removeError(elem, className);
    return false;
  };

  /**
   * リアルタイムバリデーションイベントの設定
   */
  const attachValidation = () => {
    requiredElems.forEach((elem) => {
      const eventType =
        elem.type === "radio" || elem.type === "checkbox" ? "change" : "input";

      if (elem.type === "radio" || elem.type === "checkbox") {
        // グループ全体で1回だけイベントを登録（同じnameに複数ついてもOK）
        const group = validationForm.querySelectorAll(`[name="${elem.name}"]`);
        // 最初の要素だけにイベントを付ける（重複防止）
        if (group.length && group[0] === elem) {
          group.forEach((el) => {
            el.addEventListener(eventType, () => {
              group.forEach((target) => isValueMissing(target));
            });
          });
        }
      } else {
        elem.addEventListener(eventType, () => isValueMissing(elem));
      }
    });

    patternElems.forEach((elem) =>
      elem.addEventListener("input", () => isPatternMismatch(elem))
    );

    equalToElems.forEach((elem) => {
      elem.addEventListener("input", () => isNotEqualTo(elem));
      const target = document.getElementById(
        elem.getAttribute("data-equal-to")
      );
      if (target) target.addEventListener("input", () => isNotEqualTo(elem));
    });

    minlengthElems.forEach((elem) =>
      elem.addEventListener("input", () => isTooShort(elem))
    );

    maxlengthElems.forEach((elem) =>
      elem.addEventListener("input", () => isTooLong(elem))
    );
  };

  /**
   * 入力文字数カウンター表示
   */
  const attachCounter = () => {
    showCountElems.forEach((elem) => {
      const max = parseInt(elem.getAttribute("data-maxlength"), 10);
      if (!isNaN(max)) {
        const countElem = document.createElement("p");
        countElem.classList.add("countSpanWrapper");
        countElem.innerHTML = `<span class="countSpan">0</span>/${max}`;
        elem.parentNode.appendChild(countElem);

        elem.addEventListener("input", () => {
          const countSpan = countElem.querySelector(".countSpan");
          const count = getValueLength(elem.value);
          countSpan.textContent = count;
          countSpan.classList.toggle("overMaxCount", count > max);
          countSpan.style.color = count > max ? "red" : "";
        });
      }
    });
  };

  /**
   * 全項目のバリデーションを実行
   */
  const validateAll = () => {
    let hasError = false;
    requiredElems.forEach((elem) => {
      if (isValueMissing(elem)) hasError = true;
    });
    patternElems.forEach((elem) => {
      if (isPatternMismatch(elem)) hasError = true;
    });
    equalToElems.forEach((elem) => {
      if (isNotEqualTo(elem)) hasError = true;
    });
    minlengthElems.forEach((elem) => {
      if (isTooShort(elem)) hasError = true;
    });
    maxlengthElems.forEach((elem) => {
      if (isTooLong(elem)) hasError = true;
    });
    return hasError;
  };

  /**
   * フォーム送信イベント
   */
  validationForm.addEventListener("submit", (e) => {
    hasSubmittedOnce = true; // 以降エラー表示を有効にする
    const hasError = validateAll();
    if (hasError) {
      e.preventDefault(); // 送信を止める
      const errorElem = document.querySelector(`.${errorClassName}`);
      if (errorElem) {
        window.scrollTo({
          top: errorElem.offsetTop - 40,
          behavior: "smooth",
        });
      }
    }
  });

  // バリデーションとカウンターを初期化
  attachValidation();
  attachCounter();
});

<input
  type="text"
  class="required maxlength"
  data-maxlength="30"
  id="name"
  name="name"
  placeholder="氏名"
  data-error-required="お名前は必須です。"
  value="<?php echo h($name); ?>">

<input
  type="email"
  class="required pattern"
  data-pattern="email"
  data-error-required="Email アドレスは必須です。"
  data-error-pattern="Email の形式が正しくないようですのでご確認ください"
  id="email"
  name="email"
  placeholder="Email アドレス"
  value="<?php echo h($email); ?>">

<?php
session_start(); // セッション開始
// セッションIDを更新（セッションハイジャック対策）
session_regenerate_id(); //または session_regenerate_id( true );

// クリックジャッキング対策（.htaccess 側でも設定している場合は不要）
header("X-Frame-Options: SAMEORIGIN");  // 古いブラウザ（IE11など）にも対応
header("Content-Security-Policy: frame-ancestors 'self';"); // 新しいブラウザ向けの設定

// エスケープ処理やバリデーション、セッション補助関数などを含める
require '../includes/helpers.php';
// メール送信に使用する定数を定義
require '../includes/mail_config.php';

// mail_config.php で定義された定数が正しく設定されているか検証（未設定時はエラー終了）
validate_mail_config(
  ['MAIL_TO', 'MAIL_FROM', 'MAIL_RETURN_PATH'], // 必須のメールアドレス定数
  ['MAIL_CC', 'MAIL_BCC'],                      // オプションのメールアドレス定数
  ['MAIL_TO_NAME', 'MAIL_FROM_NAME'],           // 必須の名前定数
  ['MAIL_CC_NAME', 'AUTO_REPLY_NAME']           // オプションの名前定数
);

// セッション変数から値を取得（初回表示時は空、戻ったときは以前の入力値を復元）
$name = init_session_value('name');
$email = init_session_value('email');
$email_check = init_session_value('email_check');
$tel = init_session_value('tel');
$subject = init_session_value('subject');
$body = init_session_value('body');
$error = init_session_value('error', true);

// 毎回新しい CSRF 対策トークンを生成してセッションに保存
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
// トークンを変数に代入（フォームの hidden フィールドに出力するため）
$csrf_token = $_SESSION['csrf_token'];
?>
<!DOCTYPE html>
<html lang="ja">

<head>
  <meta charset="utf-8">
  <meta name="viewport" content="width=device-width, initial-scale=1">
  <meta http-equiv="X-UA-Compatible" content="IE=edge">
  <title>コンタクトフォーム</title>
  <link href="../assets/css/contact-style.css" rel="stylesheet">
</head>

<body>
  <div class="container contact-page">
    <h2>お問い合わせフォーム（確認画面付き）</h2>
    <p>以下のフォームからお問い合わせください。</p>
    <!-- 送信エラーがあった場合 -->
    <?php
    if (!empty($_SESSION['send_error'])) {
      echo '<div class="error-php" role="alert" aria-live="polite">' . h($_SESSION['send_error']) . '</div>';
      unset($_SESSION['send_error']);
    }
    ?>
    <!-- novalidate → HTML5のバリデーションは無効にしてJSで制御 -->
    <form class="js-form-validation contact-form" method="post" action="confirm.php" novalidate>
      <!-- 以下の隠し要素にトークンを埋め込む -->
      <input type="hidden" name="csrf_token" value="<?php echo h($csrf_token); ?>">
      <div>
        <label for="name">お名前（必須）
          <span class="error-php"><?php print_error($error, 'name'); ?></span>
        </label>
        <input
          type="text"
          class="required maxlength"
          data-maxlength="30"
          id="name"
          name="name"
          placeholder="氏名"
          data-error-required="お名前は必須です。"
          value="<?php echo h($name); ?>">
      </div>
      <div>
        <label for="email">Email（必須）
          <span class="error-php"><?php print_error($error, 'email'); ?></span>
        </label>
        <input
          type="email"
          class="required pattern"
          data-pattern="email"
          data-error-required="Email アドレスは必須です。"
          data-error-pattern="Email の形式が正しくないようですのでご確認ください"
          id="email"
          name="email"
          placeholder="Email アドレス"
          value="<?php echo h($email); ?>">
      </div>
      <div>
        <label for="email_check">Email（確認用 必須）
          <span class="error-php"><?php print_error($error, 'email_check'); ?></span>
        </label>
        <input
          type="email"
          class="equal-to required"
          data-equal-to="email"
          data-error-equal-to="メールアドレスが異なります"
          id="email_check"
          name="email_check"
          placeholder="Email アドレス（確認用 必須）"
          value="<?php echo h($email_check); ?>">
      </div>
      <div>
        <label for="tel">電話番号（半角数字）
          <span class="error-php"><?php print_error($error, 'tel'); ?></span>
        </label>
        <input
          type="tel"
          class="pattern"
          data-pattern="tel"
          data-error-pattern="10〜11桁の日本の電話番号を、ハイフンありまたはなしで入力してください。"
          id="tel"
          name="tel"
          placeholder="電話番号（例：090-1234-5678 または 09012345678）"
          value="<?php echo h($tel); ?>">
      </div>
      <div>
        <label for="subject">件名（必須）
          <span class="error-php"><?php print_error($error, 'subject'); ?></span>
        </label>
        <input
          type="text"
          class="required maxlength"
          data-maxlength="100"
          id="subject"
          name="subject"
          placeholder="件名"
          data-error-required="件名は必須です。"
          value="<?php echo h($subject); ?>">
      </div>
      <div>
        <label for="body">お問い合わせ内容（必須）
          <span class="error-php"><?php print_error($error, 'body'); ?></span>
        </label>
        <textarea
          class="required maxlength showCount"
          data-maxlength="1000"
          id="body"
          name="body"
          placeholder="お問い合わせ内容（1000文字まで）をお書きください"
          data-error-required="お問い合わせ内容は必須です。"
          rows="5"><?php echo h($body); ?></textarea>
      </div>
      <button name="confirm" type="submit" class="form-button">確認</button>
    </form>
  </div>
  <!--  検証用の JavaScript の読み込み -->
  <script src="../assets/js/form-validation.js"></script>
</body>

</html>

<?php
session_start(); // ユーザーごとのセッション開始
session_regenerate_id(); // セッションIDを更新

// クリックジャッキング対策（.htaccess 側でも設定している場合は不要）
header("X-Frame-Options: SAMEORIGIN");  // 古いブラウザ（IE11など）にも対応
header("Content-Security-Policy: frame-ancestors 'self';"); // 新しいブラウザ向けの設定

// 共通関数や設定ファイルを読み込み
require '../includes/helpers.php';       // h() や checkInput() などの共通関数
require '../includes/mail_config.php';   // メール送信に必要な定数

// トークンを確認（CSRF対策）
if (isset($_POST['csrf_token'], $_SESSION['csrf_token'])) {
  $csrf_token = $_POST['csrf_token'];
  if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
    // トークン不一致：入力フォームにリダイレクト
    redirect_to_contact_input(); // または redirect_to_page()
  }
  // トークンを一度使ったら無効化
  unset($_SESSION['csrf_token']);
} else {
  // トークン未送信：直接アクセスなどトークンが存在しない場合は処理を中止（エラーにする）
  die('Access Denied（直接このページにはアクセスできません）');
}

// POST データの安全性をチェック
$_POST = checkInput($_POST);

// init_session_value() を使って POST データから変数に代入（この時点で $_POST は検査済み）
$name    = init_post_value('name');
$email   = init_post_value('email');
$email_check   = init_post_value('email_check');
$tel     = init_post_value('tel');
$subject = init_post_value('subject');
$body    = init_post_value('body');

//エラーメッセージを保存する配列の初期化
$error = array();

//値の検証（入力内容が条件を満たさない場合はエラーメッセージを配列 $error に設定）
if ($name === '') {
  $error['name'] = '*お名前は必須項目です。';
} elseif (!preg_match('/\A[[:^cntrl:]]{1,30}\z/u', $name)) {
  $error['name'] = '*お名前は30文字以内でお願いします。';
} elseif (preg_match("/[\r\n]/", $name)) {
  $error['name'] = '*お名前に改行文字は使用できません。';
}

if ($email === '') {
  $error['email'] = '*メールアドレスは必須です。';
} elseif (!preg_match('/\A[a-zA-Z0-9._%+\-]+@[a-zA-Z0-9.\-]+\.[a-zA-Z]{2,}\z/', $email)) {
  $error['email'] = '*メールアドレスの形式が正しくありません。';
} elseif (preg_match("/[\r\n]/", $email)) {
  $error['email'] = '*メールアドレスに改行文字は使用できません。';
}

if ($email_check == '') {
  $error['email_check'] = '*確認用メールアドレスは必須です。';
} else {
  if ($email_check !== $email) {
    $error['email_check'] = '*メールアドレスが一致しません。';
  }
}

if ($tel !== '' && !preg_match('/\A0\d{9,10}\z/', str_replace('-', '', $tel))) {
  $error['tel'] = '*電話番号は10〜11桁の数字で入力してください（ハイフンあり・なし両対応）。';
}

if ($subject === '') {
  $error['subject'] = '*件名は必須項目です。';
} elseif (!preg_match('/\A[[:^cntrl:]]{1,100}\z/u', $subject)) {
  $error['subject'] = '*件名は100文字以内でお願いします。';
}

if ($body === '') {
  $error['body'] = '*内容は必須項目です。';
} elseif (!preg_match('/\A[\r\n\t[:^cntrl:]]{1,1000}\z/u', $body)) {
  $error['body'] = '*内容は1000文字以内でお願いします。';
}

//POSTされたデータとエラーの配列をセッション変数に保存
$_SESSION['name'] = $name;
$_SESSION['email'] = $email;
$_SESSION['email_check'] = $email_check;
$_SESSION['tel'] = $tel;
$_SESSION['subject'] = $subject;
$_SESSION['body'] = $body;
$_SESSION['error'] = $error;

//チェックの結果にエラーがある場合は入力フォームに戻す
if (count($error) > 0) {
  redirect_to_contact_input();
}

// 最後でワンタイムトークンを新たに生成・保存
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
$csrf_token = $_SESSION['csrf_token'];
?>

<!DOCTYPE html>
<html lang="ja">
<head>
  <meta charset="utf-8">
  <meta name="viewport" content="width=device-width, initial-scale=1">
  <meta http-equiv="X-UA-Compatible" content="IE=edge">
  <title>コンタクトフォーム（確認）</title>
  <link href="../assets/css/contact-style.css" rel="stylesheet">
</head>
<body>
  <div class="container contact-page">
    <h2>お問い合わせ確認画面</h2>
    <p>以下の内容でよろしければ「送信する」をクリックしてください。内容を変更する場合は「戻る」をクリックして入力画面にお戻りください。</p>
    <div class="confirm-table-wrapper">
      <table class="confirm-table">
        <caption>ご入力内容</caption>
        <tr>
          <th>お名前</th>
          <td><?php echo h($name); ?></td>
        </tr>
        <tr>
          <th>Email</th>
          <td><?php echo h($email); ?></td>
        </tr>
        <tr>
          <th>お電話番号</th>
          <td><?php echo h($tel); ?></td>
        </tr>
        <tr>
          <th>件名</th>
          <td><?php echo h($subject); ?></td>
        </tr>
        <tr>
          <th>お問い合わせ内容</th>
          <td><?php echo nl2br(h($body)); ?></td>
        </tr>
      </table>
    </div>
    <div class="confirm-forms">
      <form action="contact.php" method="post" class="confirm back">
        <button type="submit" class="form-button">戻る</button>
      </form>
      <form action="complete.php" method="post" class="confirm send">
        <!-- 完了画面（complete.php）用のCSRFトークンの隠しフィールド -->
        <input type="hidden" name="csrf_token" value="<?php echo h($csrf_token); ?>">
        <button type="submit" class="form-button">送信する</button>
      </form>
    </div>
  </div>
</body>
</html>

<?php
session_start();
session_regenerate_id();

header('X-Frame-Options: SAMEORIGIN'); // .htaccess 側でも設定している場合は不要
header("Content-Security-Policy: frame-ancestors 'self';");  // .htaccess 側でも設定している場合は不要

require '../includes/helpers.php';
require '../includes/mail_config.php';

// トークンを確認（CSRF対策）
if (isset($_POST['csrf_token'], $_SESSION['csrf_token'])) {
  $csrf_token = $_POST['csrf_token'];
  if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
    // トークン不一致：入力フォームにリダイレクト
    redirect_to_contact_input(); // または redirect_to_page()
  }
  // トークンを一度使ったら無効化
  unset($_SESSION['csrf_token']);
} else {
  // トークン未送信：直接アクセスなどトークンが存在しない場合は処理を中止（エラーにする）
  die('Access Denied（直接このページにはアクセスできません）');
}

// POST データの安全性をチェック
$_POST = checkInput($_POST);

// init_session_value() を使って POST データから変数に代入（この時点で $_POST は検査済み）
$name    = init_post_value('name');
$email   = init_post_value('email');
$email_check   = init_post_value('email_check');
$tel     = init_post_value('tel');
$subject = init_post_value('subject');
$body    = init_post_value('body');

//エラーメッセージを保存する配列の初期化
$error = array();

//値の検証（入力内容が条件を満たさない場合はエラーメッセージを配列 $error に設定）
if ($name === '') {
  $error['name'] = '*お名前は必須項目です。';
} elseif (!preg_match('/\A[[:^cntrl:]]{1,30}\z/u', $name)) {
  $error['name'] = '*お名前は30文字以内でお願いします。';
} elseif (preg_match("/[\r\n]/", $name)) {
  $error['name'] = '*お名前に改行文字は使用できません。';
}

if ($email === '') {
  $error['email'] = '*メールアドレスは必須です。';
} elseif (!preg_match('/\A[a-zA-Z0-9._%+\-]+@[a-zA-Z0-9.\-]+\.[a-zA-Z]{2,}\z/', $email)) {
  $error['email'] = '*メールアドレスの形式が正しくありません。';
} elseif (preg_match("/[\r\n]/", $email)) {
  $error['email'] = '*メールアドレスに改行文字は使用できません。';
}

if ($email_check == '') {
  $error['email_check'] = '*確認用メールアドレスは必須です。';
} else {
  if ($email_check !== $email) {
    $error['email_check'] = '*メールアドレスが一致しません。';
  }
}

if ($tel !== '' && !preg_match('/\A0\d{9,10}\z/', str_replace('-', '', $tel))) {
  $error['tel'] = '*電話番号は10〜11桁の数字で入力してください（ハイフンあり・なし両対応）。';
}

if ($subject === '') {
  $error['subject'] = '*件名は必須項目です。';
} elseif (!preg_match('/\A[[:^cntrl:]]{1,100}\z/u', $subject)) {
  $error['subject'] = '*件名は100文字以内でお願いします。';
}

if ($body === '') {
  $error['body'] = '*内容は必須項目です。';
} elseif (!preg_match('/\A[\r\n\t[:^cntrl:]]{1,1000}\z/u', $body)) {
  $error['body'] = '*内容は1000文字以内でお願いします。';
}

//POSTされたデータとエラーの配列をセッション変数に保存
$_SESSION['name'] = $name;
$_SESSION['email'] = $email;
$_SESSION['email_check'] = $email_check;
$_SESSION['tel'] = $tel;
$_SESSION['subject'] = $subject;
$_SESSION['body'] = $body;
$_SESSION['error'] = $error;

//チェックの結果にエラーがある場合は入力フォームに戻す
if (count($error) > 0) {
  redirect_to_contact_input();
}

// 最後でワンタイムトークンを新たに生成・保存
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
$csrf_token = $_SESSION['csrf_token'];
?>
<!DOCTYPE html>
<html lang="ja">

<head>
  <meta charset="utf-8">
  <meta name="viewport" content="width=device-width, initial-scale=1">
  <meta http-equiv="X-UA-Compatible" content="IE=edge">
  <title>コンタクトフォーム（確認）</title>
  <link href="../assets/css/contact-style.css" rel="stylesheet">
</head>

<body>
  <div class="container contact-page">
    <h2>お問い合わせ確認画面</h2>
    <p>以下の内容でよろしければ「送信する」をクリックしてください。<br>
      内容を変更する場合は「戻る」をクリックして入力画面にお戻りください。</p>
    <div class="confirm-table-wrapper">
      <table class="confirm-table">
        <caption>ご入力内容</caption>
        <tr>
          <th>お名前</th>
          <td><?php echo h($name); ?></td>
        </tr>
        <tr>
          <th>Email</th>
          <td><?php echo h($email); ?></td>
        </tr>
        <tr>
          <th>お電話番号</th>
          <td><?php echo h($tel); ?></td>
        </tr>
        <tr>
          <th>件名</th>
          <td><?php echo h($subject); ?></td>
        </tr>
        <tr>
          <th>お問い合わせ内容</th>
          <td><?php echo nl2br(h($body)); ?></td>
        </tr>
      </table>
    </div>
    <div class="confirm-forms">
      <form action="contact.php" method="post" class="confirm back">
        <button type="submit" class="form-button">戻る</button>
      </form>
      <form action="complete.php" method="post" class="confirm send">
        <!-- 完了画面（complete.php）用のCSRFトークンの隠しフィールド -->
        <input type="hidden" name="csrf_token" value="<?php echo h($csrf_token); ?>">
        <button type="submit" class="form-button">送信する</button>
      </form>
    </div>
  </div>
</body>

</html>

<?php
session_start();  // ユーザーごとのセッション開始（CSRFトークンや入力情報を保持）
header('X-Frame-Options: SAMEORIGIN'); // クリックジャッキング対策 （.htaccess 側でも設定している場合は不要）
header("Content-Security-Policy: frame-ancestors 'self';");  // クリックジャッキング対策 （.htaccess 側でも設定している場合は不要）

// キャッシュを完全に無効化（ブラウザバックで再送されないように）
header("Cache-Control: no-store, no-cache, must-revalidate, max-age=0");
header("Pragma: no-cache");
header("Expires: Thu, 01 Jan 1970 00:00:00 GMT");

// 共通関数や設定ファイルを読み込み
require '../includes/helpers.php';      // h() や checkInput() などの共通関数
require '../includes/mail_config.php';   // メール送信に必要な定数

// POST アクセス以外を拒否（再読み込みや直アクセス対策）
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
  redirect_to_contact_input(); // 入力画面へ戻す
  exit;
}

// POST データの安全性をチェック（サニタイズ）
$_POST = checkInput($_POST);

// CSRF トークンの存在と一致をチェック
if (isset($_POST['csrf_token'], $_SESSION['csrf_token'])) {
  // トークンの厳密比較（タイミング攻撃対策のため）
  if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token']))  {
    // トークン不一致： 攻撃や不正アクセスを即終了
    die('Access denied');
  }
} else {
  // トークンがない or セッションに無い：正規のフローではないためリダイレクト
  redirect_to_contact_input(); // または redirect_to_page()
}

// セッションから入力値を取得（h()でサニタイズ）変数に代入
$name = h($_SESSION['name']);
$email = h($_SESSION['email']);
$tel =  h($_SESSION['tel']);
$subject = h($_SESSION['subject']);
$body = h($_SESSION['body']);

//お問い合わせ日時を日本時間に
date_default_timezone_set('Asia/Tokyo');

// メールの文字エンコーディングを設定
mb_language('uni');
mb_internal_encoding('UTF-8');

// 送信先、ヘッダーの準備（From, Reply-Toなど）
$mailTo = mb_encode_mimeheader(MAIL_TO_NAME) . " <" . MAIL_TO . ">";
$returnMail = MAIL_RETURN_PATH;

$header  = "MIME-Version: 1.0\n";
$header .= "Content-Type: text/plain; charset=UTF-8\n";
$header .= "Content-Transfer-Encoding: 8bit\n";
$header .= "From: " . mb_encode_mimeheader(MAIL_FROM_NAME) . " <" . MAIL_FROM . ">\n";
$header .= "Reply-To: " . mb_encode_mimeheader($name) . " <" . $email . ">\n";

// オプションで CC や BCC を設定可能
if (defined('MAIL_CC_NAME') && defined('MAIL_CC') && MAIL_CC !== '') {
  $header .= "Cc: " . mb_encode_mimeheader(MAIL_CC_NAME) . " <" . MAIL_CC . ">\n";
}
if (defined('MAIL_BCC') && MAIL_BCC !== '') {
  $header .= "Bcc: <" . MAIL_BCC . ">\n";
}

// 本文の整形
$mail_body = 'コンタクトページからのお問い合わせ' . "\n\n";
$mail_body .=  "お名前： " . h($name) . "\n";
$mail_body .=  "Email： " . h($email) . "\n";
$mail_body .=  "お電話番号： " . h($tel) . "\n\n";
$mail_body .=  "＜お問い合わせ内容＞" . "\n" . h($body);

// safe_mode環境でのメール送信の互換対応
if (ini_get('safe_mode')) {
  $result = mb_send_mail($mailTo, $subject, $mail_body, $header);
} else {
  $result = mb_send_mail($mailTo, $subject, $mail_body, $header, '-f' . $returnMail);
}

// --- 自動返信メール（オプション）
if ($result) {
  // 自動返信が有効か確認（設定ファイルのフラグ）
  if (defined('AUTO_REPLY_ENABLED') && AUTO_REPLY_ENABLED && defined('AUTO_REPLY_NAME')) {
    // 再度エンコード設定
    mb_language('uni');
    mb_internal_encoding('UTF-8');

    // 自動返信メールヘッダーの作成
    $reply_header  = "MIME-Version: 1.0\n";
    $reply_header .= "Content-Type: text/plain; charset=UTF-8\n";
    $reply_header .= "Content-Transfer-Encoding: 8bit\n";
    $reply_header .= "From: " . mb_encode_mimeheader(AUTO_REPLY_NAME) . " <" . MAIL_FROM . ">\n";
    $reply_header .= "Reply-To: " . mb_encode_mimeheader(AUTO_REPLY_NAME) . " <" . MAIL_TO . ">\n";

    // 件名と本文を整形
    $reply_subject = 'お問い合わせ自動返信メール';
    $week = ['日', '月', '火', '水', '木', '金', '土'];
    $datetime = date("Y年m月d日") . "（" . $week[date('w')] . "）" . date(" H時i分");
    $reply_body = <<<EOT
{$name} 様

この度は、お問い合わせ頂き誠にありがとうございます。

下記の内容でお問い合わせを受け付けました。

お問い合わせ日時：{$datetime}
お名前：{$name}
メールアドレス：{$email}
お電話番号：{$tel}

＜お問い合わせ内容＞
{$body}
EOT;

    // safe_mode対応
    if (ini_get('safe_mode')) {
      $reply_result = mb_send_mail($email, $reply_subject, $reply_body, $reply_header);
    } else {
      $reply_result = mb_send_mail($email, $reply_subject, $reply_body, $reply_header, '-f' . $returnMail);
    }
  }
} else {
  // メール送信に失敗した場合
  $_SESSION['send_error'] = 'メール送信に失敗しました。時間をおいて再度お試しください。';
  // 入力ページにリダイレクト
  redirect_to_contact_input();
  exit;
}

// --- セッションの後処理（完全削除）
$_SESSION = [];  // 変数自体を空に

// クッキーも明示的に削除（サーバー側だけでなくブラウザ側も消す）
if (ini_get("session.use_cookies")) {
  // セッション用クッキーに使っている情報（path、domain、secure、httponly など）を取得
  $params = session_get_cookie_params();
  // クッキーの値（第2引数）を空にする（path、domain、secure、httponly は維持）
  setcookie(
    session_name(),
    '',
    time() - 42000,
    $params["path"],
    $params["domain"],
    $params["secure"],
    $params["httponly"]
  );
}
// セッション自体の破棄
session_destroy();
?>

<!DOCTYPE html>
<html lang="ja">

<head>
  <meta charset="utf-8">
  <meta name="viewport" content="width=device-width, initial-scale=1">
  <meta http-equiv="X-UA-Compatible" content="IE=edge">
  <title>送信完了 | お問い合わせ</title>
  <link href="../assets/css/contact-style.css" rel="stylesheet">
</head>

<body>
  <div class="container contact-page">
    <h1 aria-label="送信完了メッセージ">送信が完了しました。</h1>
    <p>ありがとうございました。</p>
    <!-- 自動返信の成否を表示（ARIA属性付きでアクセシビリティ対応） -->
    <?php if ($reply_result): ?>
      <p class="success" role="status">確認の自動返信メールをお送りいたしました。</p>
    <?php elseif (defined('AUTO_REPLY_ENABLED') && AUTO_REPLY_ENABLED && !$reply_result): ?>
      <p class="fail" role="alert">確認の自動返信メールが送信できませんでした。</p>
    <?php endif; ?>
  </div>
  <!-- ブラウザの履歴対策（戻るボタンで再送信されないように） -->
  <script>
    // History API対応ブラウザかを確認
    if (window.history.replaceState) {
      // 状態とタイトルは変更せず、現在のURLで置き換える
      window.history.replaceState(null, null, window.location.href);
    }
  </script>
</body>

</html>

<?php
session_start();  // ユーザーごとのセッション開始（CSRFトークンや入力情報を保持）
// クリックジャッキング対策（.htaccess 側でも設定している場合は不要）
header("X-Frame-Options: SAMEORIGIN");
header("Content-Security-Policy: frame-ancestors 'self';");

// キャッシュを完全に無効化（ブラウザバックで再送されないように）
header("Cache-Control: no-store, no-cache, must-revalidate, max-age=0");
header("Pragma: no-cache");
header("Expires: Thu, 01 Jan 1970 00:00:00 GMT");

// 共通関数や設定ファイルを読み込み
require '../includes/helpers.php';      // h() や checkInput() などの共通関数
require '../includes/mail_config.php';   // メール送信に必要な定数

// POST アクセス以外を拒否（再読み込みや直アクセス対策）
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
  redirect_to_contact_input(); // 入力画面へ戻す
  exit;
}

// POST データの安全性をチェック（サニタイズ）
$_POST = checkInput($_POST);

// CSRF トークンの存在と一致をチェック
if (isset($_POST['csrf_token'], $_SESSION['csrf_token'])) {
  // トークンの厳密比較（タイミング攻撃対策のため）
  if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token']))  {
    // トークン不一致： 攻撃や不正アクセスを即終了
    die('Access denied');
  }
} else {
  // トークンがない or セッションに無い：正規のフローではないためリダイレクト
  redirect_to_contact_input(); // または redirect_to_page()
}

// セッションから入力値を取得（h()でサニタイズ）変数に代入
$name = h($_SESSION['name']);
$email = h($_SESSION['email']);
$tel =  h($_SESSION['tel']);
$subject = h($_SESSION['subject']);
$body = h($_SESSION['body']);

//お問い合わせ日時を日本時間に
date_default_timezone_set('Asia/Tokyo');

// メールの文字エンコーディングを設定
mb_language('uni');
mb_internal_encoding('UTF-8');

// 送信先、ヘッダーの準備（From, Reply-Toなど）
$mailTo = mb_encode_mimeheader(MAIL_TO_NAME) . " <" . MAIL_TO . ">";
$returnMail = MAIL_RETURN_PATH;

$header  = "MIME-Version: 1.0\n";
$header .= "Content-Type: text/plain; charset=UTF-8\n";
$header .= "Content-Transfer-Encoding: 8bit\n";
$header .= "From: " . mb_encode_mimeheader(MAIL_FROM_NAME) . " <" . MAIL_FROM . ">\n";
$header .= "Reply-To: " . mb_encode_mimeheader($name) . " <" . $email . ">\n";

// オプションで CC や BCC を設定可能
if (defined('MAIL_CC_NAME') && defined('MAIL_CC') && MAIL_CC !== '') {
  $header .= "Cc: " . mb_encode_mimeheader(MAIL_CC_NAME) . " <" . MAIL_CC . ">\n";
}
if (defined('MAIL_BCC') && MAIL_BCC !== '') {
  $header .= "Bcc: <" . MAIL_BCC . ">\n";
}

// 本文の整形
$mail_body = 'コンタクトページからのお問い合わせ' . "\n\n";
$mail_body .=  "お名前： " . h($name) . "\n";
$mail_body .=  "Email： " . h($email) . "\n";
$mail_body .=  "お電話番号： " . h($tel) . "\n\n";
$mail_body .=  "＜お問い合わせ内容＞" . "\n" . h($body);

// safe_mode環境でのメール送信の互換対応
if (ini_get('safe_mode')) {
  $result = mb_send_mail($mailTo, $subject, $mail_body, $header);
} else {
  $result = mb_send_mail($mailTo, $subject, $mail_body, $header, '-f' . $returnMail);
}

// --- 自動返信メール（オプション）
if ($result) {
  // 自動返信が有効か確認（設定ファイルのフラグ）
  if (defined('AUTO_REPLY_ENABLED') && AUTO_REPLY_ENABLED && defined('AUTO_REPLY_NAME')) {
    // 再度エンコード設定
    mb_language('uni');
    mb_internal_encoding('UTF-8');

    // 自動返信メールヘッダーの作成
    $reply_header  = "MIME-Version: 1.0\n";
    $reply_header .= "Content-Type: text/plain; charset=UTF-8\n";
    $reply_header .= "Content-Transfer-Encoding: 8bit\n";
    $reply_header .= "From: " . mb_encode_mimeheader(AUTO_REPLY_NAME) . " <" . MAIL_FROM . ">\n";
    $reply_header .= "Reply-To: " . mb_encode_mimeheader(AUTO_REPLY_NAME) . " <" . MAIL_TO . ">\n";

    // 件名と本文を整形
    $reply_subject = 'お問い合わせ自動返信メール';
    $week = ['日', '月', '火', '水', '木', '金', '土'];
    $datetime = date("Y年m月d日") . "（" . $week[date('w')] . "）" . date(" H時i分");
    $reply_body = <<<EOT
{$name} 様

この度は、お問い合わせ頂き誠にありがとうございます。

下記の内容でお問い合わせを受け付けました。

お問い合わせ日時：{$datetime}
お名前：{$name}
メールアドレス：{$email}
お電話番号：{$tel}

＜お問い合わせ内容＞
{$body}
EOT;

    // safe_mode対応
    if (ini_get('safe_mode')) {
      $reply_result = mb_send_mail($email, $reply_subject, $reply_body, $reply_header);
    } else {
      $reply_result = mb_send_mail($email, $reply_subject, $reply_body, $reply_header, '-f' . $returnMail);
    }
  }
} else {
  // メール送信に失敗した場合
  $_SESSION['send_error'] = 'メール送信に失敗しました。時間をおいて再度お試しください。';
  // 入力ページにリダイレクト
  redirect_to_contact_input();
  exit;
}

// --- セッションの後処理（完全削除）
$_SESSION = [];  // 変数自体を空に

// クッキーも明示的に削除（サーバー側だけでなくブラウザ側も消す）
if (ini_get("session.use_cookies")) {
  // セッション用クッキーに使っている情報（path、domain、secure、httponly など）を取得
  $params = session_get_cookie_params();
  // クッキーの値（第2引数）を空にする（path、domain、secure、httponly は維持）
  setcookie(
    session_name(),
    '',
    time() - 42000,
    $params["path"],
    $params["domain"],
    $params["secure"],
    $params["httponly"]
  );
}
// セッション自体の破棄
session_destroy();
?>
<!DOCTYPE html>
<html lang="ja">

<head>
  <meta charset="utf-8">
  <meta name="viewport" content="width=device-width, initial-scale=1">
  <meta http-equiv="X-UA-Compatible" content="IE=edge">
  <title>送信完了 | お問い合わせ</title>
  <link href="../assets/css/contact-style.css" rel="stylesheet">
</head>

<body>
  <div class="container contact-page">
    <h1 aria-label="送信完了メッセージ">送信が完了しました。</h1>
    <p>ありがとうございました。</p>
    <!-- 自動返信の成否を表示（ARIA属性付きでアクセシビリティ対応） -->
    <?php if ($reply_result): ?>
      <p class="success" role="status">確認の自動返信メールをお送りいたしました。</p>
    <?php elseif (defined('AUTO_REPLY_ENABLED') && AUTO_REPLY_ENABLED && !$reply_result): ?>
      <p class="fail" role="alert">確認の自動返信メールが送信できませんでした。</p>
    <?php endif; ?>
  </div>
  <!-- ブラウザの履歴対策（戻るボタンで再送信されないように） -->
  <script>
    // History API対応ブラウザかを確認
    if (window.history.replaceState) {
      // 状態とタイトルは変更せず、現在のURLで置き換える
      window.history.replaceState(null, null, window.location.href);
    }
  </script>
</body>

</html>

<?php
if (!function_exists('h')) {
  /**
   * エスケープ処理を行う関数
   *
   * @param string|array|null $var チェックする文字列または配列（nullも可）
   * @return string|array エスケープされた文字列または再帰的に処理された配列
   */
  function h($var) {
    if (is_array($var)) {
      //$varが配列の場合、h()関数をそれぞれの要素について呼び出す（再帰）
      return array_map('h', $var);
    } else {
      if ($var === null) return ''; // PHP 8.1.x 対策（null を渡すと Deprecated エラー）
      return htmlspecialchars($var, ENT_QUOTES, 'UTF-8');
    }
  }
}

if (!function_exists('checkInput')) {
  /**
   * 入力値に不正なデータがないかなどをチェックする関数
   *
   * @param string|array $var チェックする文字列または配列
   * @return string|array 入力が正しい場合はそのまま返す。不正な場合はスクリプトを終了する
   */
  function checkInput($var) {
    if (is_array($var)) {
      return array_map('checkInput', $var);
    } else {
      // NULLバイト（\0）攻撃対策
      if (preg_match('/\0/', $var)) {
        die('不正な入力です。');
      }
      // 文字エンコードのチェック
      if (!mb_check_encoding($var, 'UTF-8')) {
        die('不正な入力です。');
      }
      // 改行、タブ以外の制御文字のチェック（[:^cntrl:] は「制御文字以外」を意味するPOSIX文字クラス）
      if (preg_match('/\A[\r\n\t[:^cntrl:]]*\z/u', $var) === 0) {
        die('不正な入力です。制御文字は使用できません。');
      }
      return $var;
    }
  }
}

if (!function_exists('init_session_value')) {
  /**
   * SESSION 値の初期化を行う関数
   * 未定義の場合は空文字列または空の配列を返す
   *
   * @param string  $key セッションキー名（$_SESSION 変数のキー）
   * @param boolean $is_array 配列かどうか（デフォルトは false）
   * @return mixed セッション値、または空文字列・空配列
   */
  function init_session_value($key, $is_array = false) {
    if ($is_array) {
      return $_SESSION[$key] ?? [];
    }
    return $_SESSION[$key] ?? '';
  }
}

if (!function_exists('init_post_value')) {
  /**
   * POST 値の初期化を行う関数
   * 未定義の場合は空文字列を返す
   *
   * @param string  $key キー名（$_POST 変数のキー）
   * @return string 前後の空白を除去した POST された値、または空文字列
   */
  function init_post_value($key) {
    return trim($_POST[$key] ?? '');
  }
}

if (!function_exists('print_error')) {
  /**
   * エラーメッセージを表示する関数
   *
   * @param array  $errors エラー配列（例: $_SESSION['error'] や $error）
   * @param string $key    対象のフォーム項目のキー
   * @return void          エラーメッセージがあればエスケープして出力
   */
  function print_error(array $errors, string $key): void {
    if (isset($errors[$key])) {
      echo h($errors[$key]);
    }
  }
}

if (!function_exists('validate_mail_config')) {
  /**
   * mail_config.php に定義された定数を検証する。
   *
   * @param array $required_emails 必須のメールアドレス定数
   * @param array $optional_emails 任意のメールアドレス定数
   * @param array $required_names  必須の名前定数
   * @param array $optional_names  任意の名前定数
   * @param array $required_keys   その他必須の定数（空文字でないことをチェック）
   * @return void エラーがあれば HTML で表示してスクリプトを終了する。問題がなければ何も返さない。
   */
  function validate_mail_config(
    array $required_emails,
    array $optional_emails,
    array $required_names,
    array $optional_names,
    array $required_keys = []
  ) {
    $errors = [];

    // 必須メール定数のチェック
    foreach ($required_emails as $const) {
      if (!defined($const)) {
        $errors[] = "$const が定義されていません。";
      } elseif (!filter_var(constant($const), FILTER_VALIDATE_EMAIL)) {
        $errors[] = "$const の形式が不正です。";
      }
    }

    // オプションメール定数のチェック（定義されていればチェック）
    foreach ($optional_emails as $const) {
      if (defined($const) && !filter_var(constant($const), FILTER_VALIDATE_EMAIL)) {
        $errors[] = "$const の形式が不正です。";
      }
    }

    // 必須名前定数のチェック（改行禁止）
    foreach ($required_names as $const) {
      if (!defined($const)) {
        $errors[] = "$const が定義されていません。";
      } elseif (preg_match("/[\r\n]/", constant($const))) {
        $errors[] = "$const に改行が含まれています。";
      }
    }

    // オプション名前定数のチェック
    foreach ($optional_names as $const) {
      if (defined($const) && preg_match("/[\r\n]/", constant($const))) {
        $errors[] = "$const に改行文字が含まれています。";
      }
    }

    // その他の必須定数（空文字でないこと）
    foreach ($required_keys as $const) {
      if (!defined($const)) {
        $errors[] = "$const が定義されていません。";
      } elseif (trim(constant($const)) === '') {
        $errors[] = "$const が空です。";
      }
    }

    // エラー表示
    if (!empty($errors)) {
      echo '<h3 style="color:red;">mail_config.php に不正な定義があります:</h3>';
      echo '<ul>';
      foreach ($errors as $error) {
        echo '<li style="color:red;">' . htmlspecialchars($error, ENT_QUOTES, 'UTF-8') . '</li>';
      }
      echo '</ul>';
      exit('mail_config.php の内容を修正してください。');
    }
  }
}

if (!function_exists('redirect_to_contact_input')) {
  /**
   * 入力フォーム（contact.php）へリダイレクトする関数。
   *
   * バリデーションエラー処理やCSRFトークンの失敗時など、「入力画面に戻す」際に使用
   * 再送信を防ぐため HTTP 303 ステータスコードを用いて contact.php へリダイレクトを行う。
   *
   * セッションのロックを明示的に解除することで、
   * リダイレクト先でもセッションの読み書きがブロックされないように配慮している。
   *
   * @return void
   */
  function redirect_to_contact_input() {
    // セッションのロックを解除して他のリクエストがセッションにアクセスできるようにする
    session_write_close();
    // HTTPステータスコード303を送信（POST後のリダイレクトで再送信を防ぐため）
    header('HTTP/1.1 303 See Other');
    // Locationヘッダーでリダイレクト先を指定
    header('Location: contact.php');
    // 以降の処理を終了（リダイレクト実行）
    exit;
  }
}

if (!function_exists('redirect_to_page')) {
  /**
   * 指定されたページへ 303 See Other リダイレクトを行う。
   * redirect_to_contact_input() が機能しない環境で使用することを想定
   *
   * - 現在のスクリプトのディレクトリに対して相対的なパスでページにリダイレクトする。
   * - HTTPS またはリバースプロキシ経由の HTTPS 判定にも対応。
   * - セッションロックを早期に解放してから Location ヘッダーでリダイレクトを行う。
   *
   * @param string $filename リダイレクト先のファイル名（デフォルトは 'contact.php'）。
   *               先頭のスラッシュは自動的に除去される。
   *
   * @return void この関数はリダイレクト後にスクリプトを終了するため、戻り値はない。
   */
  function redirect_to_page($filename = 'contact.php') {
    // 現在実行中のスクリプトのパスからディレクトリ名を取得（例: /contact → "/"）
    $dirname = dirname($_SERVER['SCRIPT_NAME']);
    // ルートディレクトリ ("/") の場合は空文字に置き換える（URL整形のため）
    $dirname = $dirname === DIRECTORY_SEPARATOR ? '' : $dirname;
    // HTTPS接続かどうかを判定（$_SERVER['HTTPS']が空または'off'でなければHTTPS）
    // または、リバースプロキシ環境で 'HTTP_X_FORWARDED_PROTO' が 'https' ならHTTPSとみなす
    $https = (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off') ||
      (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https');
    // 使用するスキーム（http または https）を設定
    $scheme = $https ? 'https://' : 'http://';
    // 渡されたファイル名の先頭スラッシュを削除（例: "/contact.php" → "contact.php"）
    $filename = ltrim($filename, '/');
    // リダイレクト先URLを構築（例: https://example.com/contact.php）
    $url = $scheme . $_SERVER['SERVER_NAME'] . $dirname . '/' . $filename;
    // HTTPステータスコード303を送信（POST後のリダイレクトで再送信を防ぐため）
    header('HTTP/1.1 303 See Other');
    // セッションのロックを解除して他のリクエストがセッションにアクセスできるようにする
    session_write_close();
    // Locationヘッダーでリダイレクト先を指定
    header('Location: ' . $url);
    // 以降の処理を終了（リダイレクト実行）
    exit;
  }
}

if (!function_exists('verify_recaptcha_v3')) {
  /**
   * Google reCAPTCHA v3 を検証する関数
   *
   * @param string $secret         reCAPTCHA v3 のシークレットキー
   * @param string $response_token ユーザーから送られたトークン（ $_POST['g-recaptcha-response'] ）
   * @param string $response_action ユーザーから送られたアクション名（ $_POST['action'] ）
   * @param string $remote_ip      クライアントのIPアドレス（通常は $_SERVER['REMOTE_ADDR']）
   * @param float  $threshold      判定に使用する閾値の値 （デフォルトは 0.5）
   * @return array                 ['status' => true/false, 'message' => string]
   */
  function verify_recaptcha_v3($secret, $response_token, $response_action, $remote_ip, $threshold = 0.5) {

    // 検証結果の初期化
    $result = [
      'status' => false,  // 初期値は失敗（false）に設定
      'message' => ''  // 検証失敗時のエラーメッセージ（成功時は空文字）
    ];

    // reCAPTCHA トークンの存在チェック
    if ($response_token === '') {
      $result['message'] = 'reCAPTCHAトークンが送信されていません。';
      return $result;
    }

    // reCAPTCHA アクション名の存在チェック
    if ($response_action === '') {
      $result['message'] = 'reCAPTCHAアクション名が送信されていません。';
      return $result;
    }

    // Google の検証 API へリクエスト送信（cURL）
    $ch = curl_init(); // cURL セッションを初期化
    curl_setopt($ch, CURLOPT_URL, "https://www.google.com/recaptcha/api/siteverify");  // API の URL
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true); // curl_exec の結果を文字列として返す
    curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, 5); // 接続タイムアウト（秒）
    curl_setopt($ch, CURLOPT_TIMEOUT, 10);  // 実行タイムアウト（秒）
    curl_setopt($ch, CURLOPT_POST, true); // POST メソッドを使う
    // reCAPTCHA API パラメータを POST データに指定
    curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query([
      'secret' => $secret, // シークレットキー
      'response' => $response_token, // reCAPTCHA トークン
      'remoteip' => $remote_ip, // IPアドレス送信パラメータ
    ]));

    // cURL セッションのレスポンス
    $response = curl_exec($ch);
    //  通信・レスポンスのエラーハンドリング
    if ($response === false) {
      // cURL レベルの失敗（ネットワーク、タイムアウトなど）
      $result['message'] = "cURL エラー番号: " . curl_errno($ch) . " エラーメッセージ: " . curl_error($ch);
    } else {
      // ステータスコードをチェック
      $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
      if ($httpCode < 200 || $httpCode >= 400) {
        // 200 未満または400以上はエラーとみなす
        $result['message'] = "HTTP エラーまたは予期しないステータス: $httpCode";
      } else {
        // JSON 形式のレスポンスをデコード
        $rc_result = json_decode($response);
        // JSON 解析 OK
        if (json_last_error() === JSON_ERROR_NONE) {
          // レスポンスを判定
          if (
            isset($rc_result->success, $rc_result->action, $rc_result->score) &&
            $rc_result->success === true &&
            $rc_result->action === $response_action &&
            $rc_result->score >= $threshold
          ) {
            //success が true でアクション名が一致し、スコアが threshold（0.5）以上の場合は合格
            $result['status'] = true;
            $result['success'] = $rc_result->success;
            $result['action'] = $rc_result->action;
            $result['score'] = $rc_result->score;
          } else {
            // 失敗理由を個別に判定して message に格納
            if ($rc_result->success !== true) {
              $result['message'] = 'reCAPTCHAが失敗しました（success=false）。';
            } elseif ($rc_result->action !== $response_action) {
              $result['message'] = "アクション名が一致しません（期待値: {$response_action}, 実際: {$rc_result->action}）";
            } elseif ($rc_result->score < $threshold) {
              $result['message'] = "スコアが閾値を下回りました（スコア: {$rc_result->score} / 閾値: {$threshold}）";
            }
            // エラーコードが提供されていばメッセージに追加
            if (isset($rc_result->{'error-codes'}) && is_array($rc_result->{'error-codes'})) {
              $result['message'] .= '（エラーコード: ' . implode(', ', $rc_result->{'error-codes'}) . '）';
            }
          }
        } else {
          $result['message'] = "JSONの解析に失敗しました: " . json_last_error_msg();
        }
      }
    }
    // cURL セッション終了
    curl_close($ch);
    return $result; // 検証結果を返す
  }
}