レガシーな PHP コードを読んでいると、配列の繰り返し処理に $i などのループカウンタを使った for 文が残っているケースによく遭遇します。
今回は、配列の出力処理を for から foreach 代替構文へと変更し、同時にセキュリティ面（エスケープ処理）を改善するリファクタリング例をご紹介します。
修正前のコードと課題
まずは修正前のコードを見てみましょう。
<?php
$count = count($categories);
// 配列データを表示
for ($i = 0; $i < $count; $i++) {
print '<a href="02_03.php?category=' . $categories[$i] . '">' . $categories[$i] . '</a><br />';
}
?>
このコードの課題
- 無駄な変数管理と複雑さ
$countや$iといったループ制御用の変数を手動で管理しており、オフバイワンエラー（配列の範囲外アクセス）などのバグを生みやすくなっています。 - HTML と PHP の混在による視認性の低さ
print文の中で文字列連結（.）を使って HTML を組み立てており、属性値やタグ構造が見づらくなっています。 - セキュリティ上のリスク（XSS・URLパラメータ漏れ）
$categoriesの値がエスケープ（htmlspecialchars）処理および URL エンコード（urlencode）処理されずにそのまま出力されているため、クロスサイトスクリプティング（XSS）などの脆弱性が存在します。
修正後のコード
これらの課題を解決するためにリファクタリングしたコードがこちらです。
<?php foreach ($categories as $category): ?>
<a href="02_03.php?category=<?php echo urlencode($category); ?>"><?php echo htmlspecialchars($category, ENT_QUOTES, 'UTF-8'); ?></a><br>
<?php endforeach; ?>
主な改善ポイント
1. foreach 代替構文による可読性と安全性の向上
ループカウンタ（$i）や count() の手動管理を完全に排除しました。foreach ($categories as $category): ... <?php endforeach; ?> という HTML テンプレート向けの代替構文を採用することで、PHP の処理ブロックと HTML 構造が分離され、コード全体の視認性が飛躍的に向上しています。将来的に Smarty などのテンプレートエンジンへ移行する際にもスムーズに対応できます。
2. 適切な出力エスケープ・エンコード処理の追加
urlencode(): クエリパラメータ部分に適用し、特殊文字やスペースが含まれていても正しく URL として機能するように改善しました。htmlspecialchars(): HTML のテキスト部分に適用し、XSS（クロスサイトスクリプティング）攻撃を防ぐ安全な出力処理を実装しました。
なぜ配列の繰り返しに for ではなく foreach を使うべきなのか？
「動くからどちらでもいいのでは？」と思われがちですが、配列の操作において foreach を優先すべき明確な理由が4つあります。
1. バグの発生率が大幅に下がる（インデックスエラーの防止）
for 文では、ループカウンタ（$i）の初期値・終了条件・増分を手動で管理します。
- オフバイワンエラー（1つズレるバグ）:
$i <= $countと書いてしまい、配列の範囲外（Index Out of Bounds）にアクセスしてしまう事故がよく起こります。 - 変数の汚染: ループ用に定義した
$iがループ外に残ってしまい、他の処理と干渉するリスクがあります。
foreach なら要素の数だけ自動で1つずつ取り出してくれるため、境界条件のミスが原理的に発生しません。
2. コードがシンプルで可読性が高い（直感的に理解できる）
for 文は「インデックスの操作」という手続き的な処理が前面に出てしまい、コードの本質（データを使って何をするか）が埋もれがちです。
forの場合:
// 「$iを増やしながら、配列の$i番目を取り出す」という回りくどい記述
for ($i = 0; $i < count($items); $i++) {
echo $items[$i];
}
foreachの場合:
// 「配列から要素を1つずつ取り出す」という意図が直感的に伝わる
foreach ($items as $item) {
echo $item;
}
3. 連想配列やオブジェクト（Iterable）にも統一して使える
for 文は 0 から始まる連続した数値インデックス（$array[0], $array[1]...）を持つ配列でしか使えません。
- 連想配列（文字列キー） や 不連続なキーを持つ配列（途中の要素が
unsetされた配列など）ではfor文だと正常に動作しません。 foreachであれば、普通の配列・連想配列・Iteratorオブジェクトのいずれに対しても同じ書き方で柔軟に対応できます。
4. パフォーマンス面での無駄を防げる
for 文の条件式に直接 count($array) を書くと、ループの回数だけ毎回 count() 関数が実行され、大きな配列では処理速度が低下する原因になります。
// ループのたびに count() が呼ばれる（非効率）
for ($i = 0; $i < count($array); $i++) { ... }
foreach は内部的に最適化されており、事前カウントの考慮や手動での最適化が不要です。
Pull Request 例
実際の開発現場やオープンソースで提出する際の PR タイトルおよび説明文のイメージです。
- PR タイトル:
カテゴリ一覧の繰り返し処理を for から foreach へ変更しエスケープを適用
PR 説明文の概要
forループからforeach代替構文への改修 ループカウンタ（$i）やcount()の手動管理を排除し、より安全で可読性の高いforeach ($categories as $category):代替構文へ変更しました。- 視認性と拡張性の向上 HTML 埋め込み時の視認性を高め、後のテンプレートエンジン導入を見据えた構造に整理しました。
まとめ
for 文とループカウンタ（$i）を組み合わせた処理には、次のような潜在的リスクが潜んでいます。
- オフバイワンエラー（
$i <= $countと書いて配列外へアクセスしてしまう） - ループ外への影響（ループ用に定義した
$iがループ終了後も変数として残ってしまう） - 意図しない変数の上書き（ネストや処理内でループ用の
$iを誤って上書きしてしまう）
配列処理を foreach へ置き換えることで、これらのリスクを根本から排除できます。
地味で効果の目に見えにくい修正ですが、バグの芽を事前に摘み取り、確実に効果を発揮する価値あるリファクタリングです。まさに「技術的負債を返済する第一歩」といえるでしょう。
参考PR
