Web Design Leaves

/* Add any custom values between this line and the "stop editing" line. */

/* コンタクトフォーム関連の定数定義
------------------------------------------------------------ */

// メール送信に使用する情報
define('MAIL_TO', 'info@your-site.com');            // お問い合わせメールの送信先メールアドレス（受信者）
define('MAIL_TO_NAME', 'Your Site Name');           // お問い合わせメールの送信先の名前
define('MAIL_FROM', 'info@your-site.com');          // 送信元メールアドレス（Fromヘッダー）
define('MAIL_FROM_NAME', 'Your Site Name');         // 送信元の表示名（Fromヘッダー）
define('MAIL_RETURN_PATH', 'info@your-site.com');   // 送信エラー時のエラーメールを受け取るアドレス（Return-Path）

// 自動返信メールの設定
define('AUTO_REPLY_ENABLED', true);                 // 自動返信メールの送信を有効にするか（trueで送信する）
define('AUTO_REPLY_NAME', '自動返信 返信先名前');    // 自動返信メールの送信元名（自動返信を有効にした場合は必須）

// Cc / Bcc の設定（必要に応じて使用）
define('MAIL_CC', 'cc@your-site.com');              // Cc（カーボンコピー）を送信するメールアドレス（任意）
define('MAIL_CC_NAME', 'Cc の宛先名');              // Cc 宛の名前（任意）
define('MAIL_BCC', 'bcc@your-site.com');            // Bcc（ブラインドカーボンコピー）宛のメールアドレス（任意）

// reCAPTCHA v3 の設定
define('RECAPTCHA_V3_SITE_KEY', 'xxxxxxxxxxxxxxxxx');     // reCAPTCHA v3 のサイトキー（フロント側で使用）
define('RECAPTCHA_V3_SECRET_KEY', 'xxxxxxxxxxxxxxxxxx');  // reCAPTCHA v3 のシークレットキー（サーバー側で使用）

// 開発・デバッグ用設定
define('SHOW_RECAPTCHA_V3_RESULT', false);          // reCAPTCHA のスコア判定結果を完了ページに表示する（本番環境では false に設定）

// SMTP（PHPMailer）によるメール送信設定
define('SMTP_HOST', 'smtp.your-site.com');          // SMTP サーバーのホスト名
define('SMTP_PORT', 587);                           // SMTP ポート番号（通常は 587）
define('SMTP_AUTH', true);                          // SMTP 認証の使用有無（trueで認証を行う）
define('SMTP_SECURE', 'tls');                       // 通信の暗号化方式（'tls' または 'ssl'）
define('SMTP_USER', 'info@your-site.com');          // SMTP 認証に使用するユーザー名（通常はメールアドレス）
define('SMTP_PASS', 'xxxxxxxxxxxx');                // SMTP 認証に使用するパスワード

/* That's all, stop editing! Happy publishing */

// テーマで使用する JavaScript およびスタイルシートの読み込み処理
function my_enqueue_contact_script_style() {

  // 「お問い合わせページ（contact）」のときのみバリデーション用スクリプトを読み込む
  if (is_page('contact')) {
    wp_enqueue_script(
      'form-validation-js', // ハンドル名
      get_theme_file_uri('/js/form-validation.js'), // ファイルの URL
      array(), // 依存スクリプト（なし）
      filemtime(get_theme_file_path('/js/form-validation.js')), // キャッシュ対策：更新時刻をバージョンとして指定
      true // フッターに出力
    );
  }

  // 「確認ページ（confirm）」のときにのみ reCAPTCHA v3 用スクリプトを読み込む
  if (is_page('confirm')) {

    // wp-config.php に定義された reCAPTCHA サイトキーを取得（定義されていない場合は空文字）
    $site_key = defined('RECAPTCHA_V3_SITE_KEY') ? RECAPTCHA_V3_SITE_KEY : '';

    // Google の reCAPTCHA v3 API を読み込む（?render=サイトキー 付き）
    wp_enqueue_script(
      'google-recaptcha-v3',
      "https://www.google.com/recaptcha/api.js?render={$site_key}",
      array(),
      null, // バージョン（指定なし）
      true
    );

    // 自作の reCAPTCHA トークン処理用スクリプトを読み込む
    wp_enqueue_script(
      'recaptcha-v3-handler-js',
      get_theme_file_uri('/js/recaptcha-v3-handler.js'),
      array('google-recaptcha-v3'), // reCAPTCHA API に依存
      filemtime(get_theme_file_path('/js/recaptcha-v3-handler.js')),
      true
    );

    // JavaScript 内で reCAPTCHA サイトキーを参照できるようにグローバル変数として出力
    wp_add_inline_script(
      'recaptcha-v3-handler-js',   // データを渡す対象の JavaScript ファイルのハンドル名
      'window.recaptchaV3SiteKey = "' . esc_js($site_key) . '";',
      'before'
    );
  }

  // 「完了ページ（complete）」のときのみ履歴制御用スクリプトを読み込む
  if (is_page('complete')) {
    wp_enqueue_script(
      'contact-complete-js',
      get_theme_file_uri('/js/contact-complete.js'),
      array(),
      filemtime(get_theme_file_path('/js/contact-complete.js')),
      true
    );
  }
}
add_action('wp_enqueue_scripts', 'my_enqueue_contact_script_style');

// wp_mail() によるメール送信時の PHPMailer 設定を上書き
// SMTP サーバーの情報は wp-config.php に定義された定数を使用
add_action('phpmailer_init', function ($phpmailer) {
  $phpmailer->isSMTP(); // SMTP を使用する設定
  $phpmailer->Host       = defined('SMTP_HOST') ? SMTP_HOST : '';
  $phpmailer->SMTPAuth   = defined('SMTP_AUTH') ? SMTP_AUTH : true;
  $phpmailer->Port       = defined('SMTP_PORT') ? SMTP_PORT : 587;
  $phpmailer->Username   = defined('SMTP_USER') ? SMTP_USER : '';
  $phpmailer->Password   = defined('SMTP_PASS') ? SMTP_PASS : '';
  $phpmailer->SMTPSecure = defined('SMTP_SECURE') ? SMTP_SECURE : 'tls';
  $phpmailer->From       = defined('MAIL_FROM') ? MAIL_FROM : get_option('admin_email');
  $phpmailer->FromName   = defined('MAIL_FROM_NAME') ? MAIL_FROM_NAME : get_bloginfo('name');
});

// コンタクトフォーム用のセッションを開始（入力 → 確認 → 完了の3ページ間で値を保持するため）
function start_session_for_contact_form() {

  // 管理画面、Ajax、cron、XMLRPC など WordPress の特殊な処理時はセッションを開始しない
  if (is_admin() || wp_doing_ajax() || wp_doing_cron() || defined('XMLRPC_REQUEST')) {
    return;
  }

  // 「contact」「confirm」「complete」ページ以外ではセッションを使用しない
  if (!is_page(array('contact', 'confirm', 'complete'))) {
    return;
  }

  // まだセッションが開始されていない場合のみ開始
  if (session_status() === PHP_SESSION_NONE) {

    // セキュリティ対策として、セッション cookie の設定を明示的に指定
    session_set_cookie_params([
      'lifetime' => 0, // ブラウザを閉じるまで
      'path'     => COOKIEPATH,
      'domain'   => COOKIE_DOMAIN,
      'secure'   => is_ssl(), // HTTPS 通信時のみセキュア属性を付与
      'httponly' => true,     // JavaScript からアクセスできないようにする
      'samesite' => 'Lax',    // クロスサイト送信制限（セキュリティ強化）
    ]);

    session_start(); // セッション開始
  }
}
add_action('template_redirect', 'start_session_for_contact_form');

/**
 * メールアドレスをエンティティ化して mailto リンクとして出力するショートコード。
 *
 * このショートコードは、スパムボットによるメールアドレス収集を防ぐために、
 * `antispambot()` 関数を使ってメールアドレスをエンティティ化し、安全に mailto リンクを出力します。
 *
 * 使用例：
 * [email]foo@example.com[/email]
 *
 * 出力例：
 * <a href="mailto:&#101;&#120;&#97;&#109;&#112;&#108;&#101;&#64;&#101;&#120;&#97;&#109;&#112;&#108;&#101;&#46;&#99;&#111;&#109;">
 * &#101;&#120;&#97;&#109;&#112;&#108;&#101;&#64;&#101;&#120;&#97;&#109;&#112;&#108;&#101;&#46;&#99;&#111;&#109;
 * </a>
 *
 * @param array  $atts    ショートコードの属性（未使用）。
 * @param string $content ショートコード内の内容（メールアドレス）。
 * @return string|null    エンティティ化された mailto リンク、または無効な場合は null。
 */
function email_antispambot_shortcode( $atts , $content = null ) {
  if ( ! is_email( $content ) ) {
    return;
  }
  return '<a href="' . esc_url( 'mailto:' . antispambot( $content ) ) . '">' . esc_html( antispambot( $content ) ) . '</a>';
}
add_shortcode( 'email', 'email_antispambot_shortcode' );

<?php
if (!function_exists('h')) {
  /**
   * エスケープ処理を行う関数
   *
   * @param string|array|null $var チェックする文字列または配列（nullも可）
   * @return string|array エスケープされた文字列または再帰的に処理された配列
   */
  function h($var) {
    if (is_array($var)) {
      //$varが配列の場合、h()関数をそれぞれの要素について呼び出す（再帰）
      return array_map('h', $var);
    } else {
      if ($var === null) return ''; // PHP 8.1.x 対策（null を渡すと Deprecated エラー）
      return htmlspecialchars($var, ENT_QUOTES, 'UTF-8');
    }
  }
}

if (!function_exists('checkInput')) {
  /**
   * 入力値に不正なデータがないかなどをチェックする関数
   *
   * @param string|array $var チェックする文字列または配列
   * @return string|array 入力が正しい場合はそのまま返す。不正な場合はスクリプトを終了する
   */
  function checkInput($var) {
    if (is_array($var)) {
      return array_map('checkInput', $var);
    } else {
      // NULLバイト（\0）攻撃対策
      if (preg_match('/\0/', $var)) {
        die('不正な入力です。');
      }
      // 文字エンコードのチェック
      if (!mb_check_encoding($var, 'UTF-8')) {
        die('不正な入力です。');
      }
      // 改行、タブ以外の制御文字のチェック（[:^cntrl:] は「制御文字以外」を意味するPOSIX文字クラス）
      if (preg_match('/\A[\r\n\t[:^cntrl:]]*\z/u', $var) === 0) {
        die('不正な入力です。制御文字は使用できません。');
      }
      return $var;
    }
  }
}

if (!function_exists('init_session_value')) {
  /**
   * SESSION 値の初期化を行う関数
   * 未定義の場合は空文字列または空の配列を返す
   *
   * @param string  $key セッションキー名（$_SESSION 変数のキー）
   * @param boolean $is_array 配列かどうか（デフォルトは false）
   * @return mixed セッション値、または空文字列・空配列
   */
  function init_session_value($key, $is_array = false) {
    if ($is_array) {
      return $_SESSION[$key] ?? [];
    }
    return $_SESSION[$key] ?? '';
  }
}

if (!function_exists('init_post_value')) {
  /**
   * POST 値の初期化を行う関数
   * 未定義の場合は空文字列を返す
   *
   * @param string  $key キー名（$_POST 変数のキー）
   * @return string 前後の空白を除去した POST された値、または空文字列
   */
  function init_post_value($key) {
    return trim($_POST[$key] ?? '');
  }
}

if (!function_exists('print_error')) {
  /**
   * エラーメッセージを表示する関数
   *
   * @param array  $errors エラー配列（例: $_SESSION['error'] や $error）
   * @param string $key    対象のフォーム項目のキー
   * @return void          エラーメッセージがあればエスケープして出力
   */
  function print_error(array $errors, string $key): void {
    if (isset($errors[$key])) {
      echo h($errors[$key]);
    }
  }
}

if (!function_exists('validate_mail_config')) {
  /**
   * wp-config.php に定義された定数を検証する。
   *
   * @param array $required_emails 必須のメールアドレス定数
   * @param array $optional_emails 任意のメールアドレス定数
   * @param array $required_names  必須の名前定数
   * @param array $optional_names  任意の名前定数
   * @param array $required_keys   その他必須の定数（空文字でないことをチェック）
   * @return void エラーがあれば HTML で表示してスクリプトを終了する。問題がなければ何も返さない。
   */
  function validate_mail_config(
    array $required_emails,
    array $optional_emails,
    array $required_names,
    array $optional_names,
    array $required_keys = []
  ) {
    $errors = [];

    // 必須メール定数のチェック
    foreach ($required_emails as $const) {
      if (!defined($const)) {
        $errors[] = "$const が定義されていません。";
      } elseif (!filter_var(constant($const), FILTER_VALIDATE_EMAIL)) {
        $errors[] = "$const の形式が不正です。";
      }
    }

    // オプションメール定数のチェック（定義されていればチェック）
    foreach ($optional_emails as $const) {
      if (defined($const) && !filter_var(constant($const), FILTER_VALIDATE_EMAIL)) {
        $errors[] = "$const の形式が不正です。";
      }
    }

    // 必須名前定数のチェック（改行禁止）
    foreach ($required_names as $const) {
      if (!defined($const)) {
        $errors[] = "$const が定義されていません。";
      } elseif (preg_match("/[\r\n]/", constant($const))) {
        $errors[] = "$const に改行が含まれています。";
      }
    }

    // オプション名前定数のチェック
    foreach ($optional_names as $const) {
      if (defined($const) && preg_match("/[\r\n]/", constant($const))) {
        $errors[] = "$const に改行文字が含まれています。";
      }
    }

    // その他の必須定数（空文字でないこと）
    foreach ($required_keys as $const) {
      if (!defined($const)) {
        $errors[] = "$const が定義されていません。";
      } elseif (trim(constant($const)) === '') {
        $errors[] = "$const が空です。";
      }
    }

    // エラー表示
    if (!empty($errors)) {
      echo '<h3 style="color:red;">wp-config.php に不正な定義があります:</h3>';
      echo '<ul>';
      foreach ($errors as $error) {
        echo '<li style="color:red;">' . htmlspecialchars($error, ENT_QUOTES, 'UTF-8') . '</li>';
      }
      echo '</ul>';
      exit('wp-config.php の内容を修正してください。');
    }
  }
}

if (!function_exists('redirect_to_contact_input')) {
  /**
   * 入力フォーム（contact.php）へリダイレクトする関数。
   *
   * バリデーションエラー処理やCSRFトークンの失敗時など、「入力画面に戻す」際に使用
   * 再送信を防ぐため HTTP 303 ステータスコードを用いて contact.php へリダイレクトを行う。
   *
   * セッションのロックを明示的に解除することで、
   * リダイレクト先でもセッションの読み書きがブロックされないように配慮している。
   *
   * @return void
   */
  function redirect_to_contact_input() {
    // セッションのロックを解除して他のリクエストがセッションにアクセスできるようにする
    session_write_close();
    // HTTPステータスコード303を送信（POST後のリダイレクトで再送信を防ぐため）
    header('HTTP/1.1 303 See Other');
    // Locationヘッダーでリダイレクト先を指定
    header('Location: contact');
    // 以降の処理を終了（リダイレクト実行）
    exit;
  }
}

if (!function_exists('redirect_to_page')) {
  /**
   * 指定されたページへ 303 See Other リダイレクトを行う。
   * redirect_to_contact_input() が機能しない環境で使用することを想定
   *
   * - 現在のスクリプトのディレクトリに対して相対的なパスでページにリダイレクトする。
   * - HTTPS またはリバースプロキシ経由の HTTPS 判定にも対応。
   * - セッションロックを早期に解放してから Location ヘッダーでリダイレクトを行う。
   *
   * @param string $filename リダイレクト先のファイル名（デフォルトは 'contact'）。
   *               先頭のスラッシュは自動的に除去される。
   *
   * @return void この関数はリダイレクト後にスクリプトを終了するため、戻り値はない。
   */
  function redirect_to_page($filename = 'contact') {
    // 現在実行中のスクリプトのパスからディレクトリ名を取得（例: /contact → "/"）
    $dirname = dirname($_SERVER['SCRIPT_NAME']);
    // ルートディレクトリ ("/") の場合は空文字に置き換える（URL整形のため）
    $dirname = $dirname === DIRECTORY_SEPARATOR ? '' : $dirname;
    // HTTPS接続かどうかを判定（$_SERVER['HTTPS']が空または'off'でなければHTTPS）
    // または、リバースプロキシ環境で 'HTTP_X_FORWARDED_PROTO' が 'https' ならHTTPSとみなす
    $https = (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off') ||
      (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https');
    // 使用するスキーム（http または https）を設定
    $scheme = $https ? 'https://' : 'http://';
    // 渡されたファイル名の先頭スラッシュを削除（例: "/contact" → "contact"）
    $filename = ltrim($filename, '/');
    // リダイレクト先URLを構築（例: https://example.com/contact）
    $url = $scheme . $_SERVER['SERVER_NAME'] . $dirname . '/' . $filename;
    // HTTPステータスコード303を送信（POST後のリダイレクトで再送信を防ぐため）
    header('HTTP/1.1 303 See Other');
    // セッションのロックを解除して他のリクエストがセッションにアクセスできるようにする
    session_write_close();
    // Locationヘッダーでリダイレクト先を指定
    header('Location: ' . $url);
    // 以降の処理を終了（リダイレクト実行）
    exit;
  }
}

if (!function_exists('verify_recaptcha_v3')) {
  /**
   * Google reCAPTCHA v3 を検証する関数
   *
   * @param string $secret         reCAPTCHA v3 のシークレットキー
   * @param string $response_token ユーザーから送られたトークン（ $_POST['g-recaptcha-response'] ）
   * @param string $response_action ユーザーから送られたアクション名（ $_POST['action'] ）
   * @param string $remote_ip      クライアントのIPアドレス（通常は $_SERVER['REMOTE_ADDR']）
   * @param float  $threshold      判定に使用する閾値の値 （デフォルトは 0.5）
   * @return array                 ['status' => true/false, 'message' => string]
   */
  function verify_recaptcha_v3($secret, $response_token, $response_action, $remote_ip, $threshold = 0.5) {

    // 検証結果の初期化
    $result = [
      'status' => false,  // 初期値は失敗（false）に設定
      'message' => ''  // 検証失敗時のエラーメッセージ（成功時は空文字）
    ];

    // reCAPTCHA トークンの存在チェック
    if ($response_token === '') {
      $result['message'] = 'reCAPTCHAトークンが送信されていません。';
      return $result;
    }

    // reCAPTCHA アクション名の存在チェック
    if ($response_action === '') {
      $result['message'] = 'reCAPTCHAアクション名が送信されていません。';
      return $result;
    }

    // Google の検証 API へリクエスト送信（cURL）
    $ch = curl_init(); // cURL セッションを初期化
    curl_setopt($ch, CURLOPT_URL, "https://www.google.com/recaptcha/api/siteverify");  // API の URL
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true); // curl_exec の結果を文字列として返す
    curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, 5); // 接続タイムアウト（秒）
    curl_setopt($ch, CURLOPT_TIMEOUT, 10);  // 実行タイムアウト（秒）
    curl_setopt($ch, CURLOPT_POST, true); // POST メソッドを使う
    // reCAPTCHA API パラメータを POST データに指定
    curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query([
      'secret' => $secret, // シークレットキー
      'response' => $response_token, // reCAPTCHA トークン
      'remoteip' => $remote_ip, // IPアドレス送信パラメータ
    ]));

    // cURL セッションのレスポンス
    $response = curl_exec($ch);
    //  通信・レスポンスのエラーハンドリング
    if ($response === false) {
      // cURL レベルの失敗（ネットワーク、タイムアウトなど）
      $result['message'] = "cURL エラー番号: " . curl_errno($ch) . " エラーメッセージ: " . curl_error($ch);
    } else {
      // ステータスコードをチェック
      $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
      if ($httpCode < 200 || $httpCode >= 400) {
        // 200 未満または400以上はエラーとみなす
        $result['message'] = "HTTP エラーまたは予期しないステータス: $httpCode";
      } else {
        // JSON 形式のレスポンスをデコード
        $rc_result = json_decode($response);
        // JSON 解析 OK
        if (json_last_error() === JSON_ERROR_NONE) {
          // レスポンスを判定
          if (
            isset($rc_result->success, $rc_result->action, $rc_result->score) &&
            $rc_result->success === true &&
            $rc_result->action === $response_action &&
            $rc_result->score >= $threshold
          ) {
            //success が true でアクション名が一致し、スコアが threshold（0.5）以上の場合は合格
            $result['status'] = true;
            $result['success'] = $rc_result->success;
            $result['action'] = $rc_result->action;
            $result['score'] = $rc_result->score;
          } else {
            // 失敗理由を個別に判定して message に格納
            if ($rc_result->success !== true) {
              $result['message'] = 'reCAPTCHAが失敗しました（success=false）。';
            } elseif ($rc_result->action !== $response_action) {
              $result['message'] = "アクション名が一致しません（期待値: {$response_action}, 実際: {$rc_result->action}）";
            } elseif ($rc_result->score < $threshold) {
              $result['message'] = "スコアが閾値を下回りました（スコア: {$rc_result->score} / 閾値: {$threshold}）";
            }
            // エラーコードが提供されていばメッセージに追加
            if (isset($rc_result->{'error-codes'}) && is_array($rc_result->{'error-codes'})) {
              $result['message'] .= '（エラーコード: ' . implode(', ', $rc_result->{'error-codes'}) . '）';
            }
          }
        } else {
          $result['message'] = "JSONの解析に失敗しました: " . json_last_error_msg();
        }
      }
    }
    // cURL セッション終了
    curl_close($ch);
    return $result; // 検証結果を返す
  }
}

<?php
// セッションIDを更新（セッションハイジャック対策）
session_regenerate_id(); //または session_regenerate_id( true );

// クリックジャッキング対策（.htaccess 側でも設定している場合は不要）
// header("X-Frame-Options: SAMEORIGIN");  // 古いブラウザ（IE11など）にも対応（現在は非推奨）
header("Content-Security-Policy: frame-ancestors 'self';"); // 新しいブラウザ向けの設定

// エスケープ処理やバリデーション、セッション補助関数などを含める
require get_theme_file_path('/inc/contact/helpers.php');

// wp-config.php で定義された定数が正しく設定されているか検証（未設定時はエラー終了）
validate_mail_config(
  ['MAIL_TO', 'MAIL_FROM', 'MAIL_RETURN_PATH'], // 必須のメールアドレス定数
  ['MAIL_CC', 'MAIL_BCC'],                      // オプションのメールアドレス定数
  ['MAIL_TO_NAME', 'MAIL_FROM_NAME'],           // 必須の名前定数
  ['MAIL_CC_NAME', 'AUTO_REPLY_NAME'],           // オプションの名前定数
  ['RECAPTCHA_V3_SITE_KEY', 'RECAPTCHA_V3_SECRET_KEY']  // reCAPTCHA V3 サイトキーとシークレットキー
);

// セッション変数から値を取得（初回表示時は空、戻ったときは以前の入力値を復元）
$uname = init_session_value('uname');
$email = init_session_value('email');
$email_check = init_session_value('email_check');
$tel = init_session_value('tel');
$subject = init_session_value('subject');
$body = init_session_value('body');
$error = init_session_value('error', true);

// 毎回新しい CSRF 対策トークンを生成してセッションに保存
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
// トークンを変数に代入（フォームの hidden フィールドに出力するため）
$csrf_token = $_SESSION['csrf_token'];

?>

<?php
/*
Template Name: お問い合わせページ
*/
get_header(); ?>

<main class="main-content contact">
  <section id="page-<?php the_ID(); ?>" <?php post_class(); ?>>
    <?php the_title('<h2 class="entry-title">', '</h2>'); ?>
    <div class="entry-content">
      <p>お問い合わせは以下のコンタクトフォームをお使いください。</p>
      <p>または <?php echo do_shortcode('[email]foo@example.com[/email]'); ?> までメールにてお問い合わせください。</p>
      <?php
      // 固定ページに記述したコンテンツを表示する場合（配置する場所は必要に応じて変更）
      while (have_posts()) :
        the_post();
        the_content();
      endwhile;
      ?>
      <?php
        // reCAPTCHA エラーがあった場合
        if (!empty($_SESSION['recaptcha_error'])) {
          echo '<div class="error-php" role="alert" aria-live="polite">' . h($_SESSION['recaptcha_error']) . '</div>';
          unset($_SESSION['recaptcha_error']);
        }
        if (!empty($_SESSION['send_error'])) {
          echo '<div class="error-php" role="alert" aria-live="polite">' . h($_SESSION['send_error']) . '</div>';
          unset($_SESSION['send_error']);
        }
      ?>
      <form class="js-form-validation contact-form" method="post" action="<?php echo esc_url(home_url('/confirm/')); ?>" novalidate>
        <!-- 以下の隠し要素にトークンを埋め込む -->
        <input type="hidden" name="csrf_token" value="<?php echo h($csrf_token); ?>">
        <div>
          <label for="uname">お名前（必須）
            <span class="error-php"><?php print_error($error, 'uname'); ?></span>
          </label>
          <input
            type="text"
            class="required maxlength"
            data-maxlength="30"
            id="uname"
            name="uname"
            placeholder="氏名"
            data-error-required="お名前は必須です。"
            value="<?php echo h($uname); ?>">
        </div>
        <div>
          <label for="email">Email（必須）
            <span class="error-php"><?php print_error($error, 'email'); ?></span>
          </label>
          <input
            type="email"
            class="required pattern"
            data-pattern="email"
            data-error-required="Email アドレスは必須です。"
            data-error-pattern="Email の形式が正しくないようですのでご確認ください"
            id="email"
            name="email"
            placeholder="Email アドレス"
            value="<?php echo h($email); ?>">
        </div>
        <div>
          <label for="email_check">Email（確認用 必須）
            <span class="error-php"><?php print_error($error, 'email_check'); ?></span>
          </label>
          <input
            type="email"
            class="equal-to required"
            data-equal-to="email"
            data-error-equal-to="メールアドレスが異なります"
            id="email_check"
            name="email_check"
            placeholder="Email アドレス（確認用 必須）"
            value="<?php echo h($email_check); ?>">
        </div>
        <div>
          <label for="tel">電話番号（半角数字）
            <span class="error-php"><?php print_error($error, 'tel'); ?></span>
          </label>
          <input
            type="tel"
            class="pattern"
            data-pattern="tel"
            data-error-pattern="10〜11桁の日本の電話番号を、ハイフンありまたはなしで入力してください。"
            id="tel"
            name="tel"
            placeholder="電話番号（例：090-1234-5678 または 09012345678）"
            value="<?php echo h($tel); ?>">
        </div>
        <div>
          <label for="subject">件名（必須）
            <span class="error-php"><?php print_error($error, 'subject'); ?></span>
          </label>
          <input
            type="text"
            class="required maxlength"
            data-maxlength="100"
            id="subject"
            name="subject"
            placeholder="件名"
            data-error-required="件名は必須です。"
            value="<?php echo h($subject); ?>">
        </div>
        <div>
          <label for="body">お問い合わせ内容（必須）
            <span class="error-php"><?php print_error($error, 'body'); ?></span>
          </label>
          <textarea
            class="required maxlength show-count"
            data-maxlength="1000"
            id="body"
            name="body"
            placeholder="お問い合わせ内容（1000文字まで）をお書きください"
            data-error-required="お問い合わせ内容は必須です。"
            rows="5"><?php echo h($body); ?></textarea>
        </div>
        <button name="confirm" type="submit" class="form-button">確認</button>
      </form>
    </div><!-- .entry-content -->
  </section>
</main><!-- #main -->
<?php
get_footer();

<?php
session_regenerate_id(); // セッションIDを更新

// クリックジャッキング対策（.htaccess 側でも設定している場合は不要）
// header('X-Frame-Options: SAMEORIGIN'); // 現在は非推奨
header("Content-Security-Policy: frame-ancestors 'self';"); // 新しいブラウザ向けの設定

// 共通関数や設定ファイルを読み込み
require get_theme_file_path('/inc/contact/helpers.php');

// reCAPTCHA V3 サイトキーの取得（wp-config.php で定義）
$v3_site_key   = RECAPTCHA_V3_SITE_KEY;

// トークンを確認（CSRF対策）
if (isset($_POST['csrf_token'], $_SESSION['csrf_token'])) {
  $csrf_token = $_POST['csrf_token'];
  if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
    // トークン不一致：入力フォームにリダイレクト
    redirect_to_contact_input(); // または redirect_to_page()
  }
  // トークンを一度使ったら無効化
  unset($_SESSION['csrf_token']);
} else {
  // トークン未送信：直接アクセスなどトークンが存在しない場合は処理を中止（エラーにする）
  die('Access Denied（直接このページにはアクセスできません）');
}

// POST データの安全性をチェック
$_POST = checkInput($_POST);

// init_session_value() を使って POST データから変数に代入（この時点で $_POST は検査済み）
$uname    = init_post_value('uname');
$email   = init_post_value('email');
$email_check   = init_post_value('email_check');
$tel     = init_post_value('tel');
$subject = init_post_value('subject');
$body    = init_post_value('body');

//エラーメッセージを保存する配列の初期化
$error = array();

//値の検証（入力内容が条件を満たさない場合はエラーメッセージを配列 $error に設定）
if ($uname === '') {
  $error['uname'] = '*お名前は必須項目です。';
} elseif (preg_match("/[\r\n]/", $uname)) {
  $error['uname'] = '*お名前に改行文字は使用できません。';
} elseif (mb_strlen($uname, 'UTF-8') > 30) {
  $error['uname'] = '*お名前は30文字以内でお願いします。';
}

if ($email === '') {
  $error['email'] = '*メールアドレスは必須です。';
} elseif (!preg_match('/^[a-zA-Z0-9.!#$%&\'*+\/=?^_`{|}~-]+@' .
              '[a-zA-Z0-9](?:[a-zA-Z0-9-]{0,61}[a-zA-Z0-9])?' .
              '(?:\.[a-zA-Z0-9](?:[a-zA-Z0-9-]{0,61}[a-zA-Z0-9])?)*$/', $email)) {
  $error['email'] = '*メールアドレスの形式が正しくありません。';
} elseif (preg_match("/[\r\n]/", $email)) {
  $error['email'] = '*メールアドレスに改行文字は使用できません。';
}

if ($email_check == '') {
  $error['email_check'] = '*確認用メールアドレスは必須です。';
} else {
  if ($email_check !== $email) {
    $error['email_check'] = '*メールアドレスが一致しません。';
  }
}

if ($tel !== '' && !preg_match('/\A0\d{9,10}\z/', str_replace('-', '', $tel))) {
  $error['tel'] = '*電話番号は10〜11桁の数字で入力してください（ハイフンあり・なし両対応）。';
}

if ($subject === '') {
  $error['subject'] = '*件名は必須項目です。';
} elseif (preg_match("/[\r\n]/", $subject)) {
  $error['subject'] = '*件名に改行文字は使用できません。';
} elseif (mb_strlen($subject, 'UTF-8') > 100) {
  $error['subject'] = '*件名は100文字以内でお願いします。';
}

if ($body === '') {
  $error['body'] = '*内容は必須項目です。';
} elseif (mb_strlen($body, 'UTF-8') > 1000) {
  $error['body'] = '*内容は1000文字以内でお願いします。';
}

//POSTされたデータとエラーの配列をセッション変数に保存
$_SESSION['uname'] = $uname;
$_SESSION['email'] = $email;
$_SESSION['email_check'] = $email_check;
$_SESSION['tel'] = $tel;
$_SESSION['subject'] = $subject;
$_SESSION['body'] = $body;
$_SESSION['error'] = $error;

//チェックの結果にエラーがある場合は入力フォームに戻す
if (count($error) > 0) {
  redirect_to_contact_input();
}

// 最後でワンタイムトークンを新たに生成・保存
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
$csrf_token = $_SESSION['csrf_token'];
?>
<?php
/*
Template Name: お問い合わせ 確認ページ
*/
get_header(); ?>
<main class="main-content contact confirm">
  <section id="page-<?php the_ID(); ?>" <?php post_class(); ?>>
    <?php the_title('<h2 class="entry-title">', '</h2>'); ?>
    <div class="entry-content">
      <p>以下の内容でよろしければ「送信」をクリックしてください。</p>
      <p>内容を変更する場合は「戻る」をクリックして入力画面にお戻りください。</p>
      <?php
      // 固定ページに記述したコンテンツを表示する場合（配置する場所は必要に応じて変更）
      while (have_posts()) :
        the_post();
        the_content();
      endwhile;
      ?>
      <div class="confirm-table-wrapper">
        <table class="confirm-table">
          <caption>ご入力内容</caption>
          <tr>
            <th>お名前</th>
            <td><?php echo h($uname); ?></td>
          </tr>
          <tr>
            <th>Email</th>
            <td><?php echo h($email); ?></td>
          </tr>
          <tr>
            <th>お電話番号</th>
            <td><?php echo h($tel); ?></td>
          </tr>
          <tr>
            <th>件名</th>
            <td><?php echo h($subject); ?></td>
          </tr>
          <tr>
            <th>お問い合わせ内容</th>
            <td><?php echo nl2br(h($body)); ?></td>
          </tr>
        </table>
      </div>
      <div class="confirm-forms">
        <form action="<?php echo esc_url(home_url('/contact/')); ?>" method="post" class="confirm back">
          <button type="submit" class="form-button">戻る</button>
        </form>
        <form action="<?php echo esc_url(home_url('/complete/')); ?>" method="post" class="confirm send rcv3">
          <!-- 完了画面（complete.php）用のCSRFトークンの隠しフィールド -->
          <input type="hidden" name="csrf_token" value="<?php echo h($csrf_token); ?>">
          <button type="submit" class="form-button">送信する</button>
        </form>
      </div>
    </div>
  </section>
</main>
 <!-- reCAPTCHA サイトキーの出力、Google reCAPTCHA API 及び recaptcha-v3-handler.js の読み込みは functions.php に記述 -->
<?php
get_footer();

<?php
// header('X-Frame-Options: SAMEORIGIN'); // 現在は非推奨
header("Content-Security-Policy: frame-ancestors 'self';"); // .htaccess 側でも設定している場合は不要

// キャッシュを無効化（ブラウザバックで再送されないように）
header("Cache-Control: no-store, no-cache, must-revalidate, max-age=0");
header("Pragma: no-cache");
header("Expires: Thu, 01 Jan 1970 00:00:00 GMT");

require get_theme_file_path('/inc/contact/helpers.php');

// reCAPTCHA V3 サイトキーとシークレットキーの取得（wp-config.php で定義）
$v3_site_key   = RECAPTCHA_V3_SITE_KEY;
$v3_secret_key = RECAPTCHA_V3_SECRET_KEY;

// reCAPTCHA 検証結果を完了画面に表示するかどうか（wp-config.php で定義）
$show_recaptcha_v3_result = (defined('SHOW_RECAPTCHA_V3_RESULT') && SHOW_RECAPTCHA_V3_RESULT) ? true : false;

// POST アクセス以外を拒否（再読み込みや直アクセス対策）
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
  redirect_to_contact_input();
  exit;
}

// POST データの安全性をチェック（サニタイズ）
$_POST = checkInput($_POST);

// reCAPTCHA トークン（$_POST['g-recaptcha-response']）が設定されていて中身が空でなければ
if (!empty($_POST['g-recaptcha-response'])) {

  // CSRF トークンの存在と一致をチェック
  if (isset($_POST['csrf_token'], $_SESSION['csrf_token'])) {
    if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
      die('Access denied');
    }
  } else {
    redirect_to_contact_input();
  }

  // reCAPTCHA v3 を検証する関数（helpers.php で定義）の呼び出し
  $recaptcha_v3_result = verify_recaptcha_v3(
    $v3_secret_key,
    $_POST['g-recaptcha-response'] ?? '',
    $_POST['action'] ?? '',
    $_SERVER['REMOTE_ADDR'],
    0.7  // スコアの閾値を指定（省略時は 0.5）
  );

  // reCAPTCHA v3 検証が成功した場合
  if ($recaptcha_v3_result['status']) {
    // reCAPTCHA 検証結果（セッションから取得）
    $success  = $recaptcha_v3_result['success'] ?? '';
    $action   = $recaptcha_v3_result['action'] ?? '';
    $score    = $recaptcha_v3_result['score'] ?? '';

    $uname = h($_SESSION['uname']);
    $email = h($_SESSION['email']);
    $tel =  h($_SESSION['tel']);
    $subject = h($_SESSION['subject']);
    $body = h($_SESSION['body']);

    // 宛先メールアドレスと宛名
    $mailTo = MAIL_TO_NAME . " <" . MAIL_TO . ">";

    // ヘッダー配列を用意
    $headers = [];
    $headers[] = 'Content-Type: text/plain; charset=UTF-8';
    $headers[] = 'From: ' . MAIL_FROM_NAME . ' <' . MAIL_FROM . '>';
    $headers[] = 'Reply-To: ' . $uname . ' <' . $email . '>';

    if (defined('MAIL_CC_NAME') && defined('MAIL_CC') && MAIL_CC !== '') {
      $headers[] = 'Cc: ' . MAIL_CC_NAME . ' <' . MAIL_CC . '>';
    }
    if (defined('MAIL_BCC') && MAIL_BCC !== '') {
      $headers[] = 'Bcc: <' . MAIL_BCC . '>';
    }

    // メール本文
    $mail_body = 'コンタクトページからのお問い合わせ' . "\n\n";
    $mail_body .=  "お名前： " . h($uname) . "\n";
    $mail_body .=  "Email： " . h($email) . "\n";
    $mail_body .=  "お電話番号： " . h($tel) . "\n\n";
    $mail_body .=  "＜お問い合わせ内容＞" . "\n" . h($body);

    // メール送信
    $result = wp_mail($mailTo, $subject, $mail_body, $headers);

    // 自動返信メール送信結果の初期化
    $reply_result = false;

    // 自動返信メール（オプション）
    if ($result) {
      if (defined('AUTO_REPLY_ENABLED') && AUTO_REPLY_ENABLED && defined('AUTO_REPLY_NAME')) {
        // mb_language() や mb_internal_encoding() は不要（wp_mail は UTF-8 が標準）

        $reply_subject = 'お問い合わせ自動返信メール';
        $week = ['日', '月', '火', '水', '木', '金', '土'];
        $datetime = date("Y年m月d日") . "（" . $week[date('w')] . "）" . date(" H時i分");

        $reply_body = <<<EOT
{$uname} 様

この度は、お問い合わせ頂き誠にありがとうございます。

下記の内容でお問い合わせを受け付けました。

お問い合わせ日時：{$datetime}
お名前：{$uname}
メールアドレス：{$email}
お電話番号：{$tel}

＜お問い合わせ内容＞
{$body}
EOT;

        // ヘッダーを配列で用意
        $reply_headers = [
          'Content-Type: text/plain; charset=UTF-8',
          'From: ' . AUTO_REPLY_NAME . ' <' . MAIL_FROM . '>',
          'Reply-To: ' . AUTO_REPLY_NAME . ' <' . MAIL_TO . '>',
        ];

        // 自動返信メール送信
        $reply_result = wp_mail($email, $reply_subject, $reply_body, $reply_headers);
      }
    } else {
      // メール送信に失敗した場合
      $_SESSION['send_error'] = 'メール送信に失敗しました。時間をおいて再度お試しください。';
      // 入力ページにリダイレクト
      redirect_to_contact_input();
      exit;
    }

    $_SESSION = [];

    if (ini_get("session.use_cookies")) {
      $params = session_get_cookie_params();
      setcookie(
        session_name(),
        '',
        time() - 42000,
        $params["path"],
        $params["domain"],
        $params["secure"],
        $params["httponly"]
      );
    }

    session_destroy();
  } else {
    // reCAPTCHAエラー（検証失敗）の場合
    $_SESSION['recaptcha_error'] = 'スパムと判定されました。もう一度お試しください。';
    // ログ用
    error_log('reCAPTCHAエラー: ' . ($recaptcha_v3_result['message'] ?? 'エラー不明') . " IP=" . $_SERVER['REMOTE_ADDR']);
    // 入力ページに戻す
    redirect_to_contact_input();
  }
} else {
  // reCAPTCHA トークンが空または存在しない場合
  $_SESSION['recaptcha_error'] = '不正なアクセスが検出されました。もう一度お試しください。';
  // ログ用
  error_log('reCAPTCHAトークン未送信: IP=' . $_SERVER['REMOTE_ADDR']);
  // 入力ページにリダイレクト
  redirect_to_contact_input();
  exit;
}
?>
<?php
/*
Template Name: お問い合わせ 完了ページ
*/
get_header(); ?>
<main class="main-content contact complete">
  <section id="page-<?php the_ID(); ?>" <?php post_class(); ?>>
    <?php the_title('<h2 class="entry-title">', '</h2>'); ?>
    <div class="entry-content">
      <h3 aria-label="送信完了メッセージ">送信が完了しました。</h3>
      <p>ありがとうございました。</p>
      <!-- reCAPTCHA の判定結果出力（SHOW_RECAPTCHA_V3_RESULT が true のときのみ表示） -->
      <?php if ($show_recaptcha_v3_result && $recaptcha_v3_result['status']) : ?>
        <div class="test">
          <?php
          if ($success) echo 'success: ' . h($success) . '<br>';
          if ($action) echo 'action: ' . h($action) . '<br>';
          if ($score) echo 'score: ' . h($score) . '<br>';
          ?>
        </div>
      <?php endif; ?>

      <?php if ($reply_result): ?>
        <p class="success" role="status">確認の自動返信メールをお送りいたしました。</p>
      <?php elseif (defined('AUTO_REPLY_ENABLED') && AUTO_REPLY_ENABLED && !$reply_result): ?>
        <p class="fail" role="alert">確認の自動返信メールが送信できませんでした。</p>
      <?php endif; ?>
      <?php
      // 固定ページに記述したコンテンツを表示する場合（配置する場所は必要に応じて変更）
      while (have_posts()) :
        the_post();
        the_content();
      endwhile;
      ?>

    </div>
  </section>
</main>
<!-- ブラウザの履歴対策（戻るボタンで再送信されないように）の JavaScript は別途ファイルに定義 -->
<?php
get_footer();

/**
*
*  contact form pages
*
**/

body {
  font-family: "Helvetica Neue", Arial, sans-serif;
  margin: 0;
  padding: 20px;
  display: flex;
  justify-content: center;
  align-items: center;
}

.contact {
  background: #fff;
  padding: 30px 40px;
  max-width: 600px;
  width: 100%;
}

.contact h1,
.contact h2 {
  margin-bottom: 1rem;
  color: #333;
}

.contact h1 {
  font-size: 24px;
}

.contact h2 {
  font-size: 20px;
}

.contact p {
  font-size: 14px;
  margin-bottom: 30px;
  color: #666;
}

.contact-form > div {
  margin-bottom: 20px;
}

@media screen and (max-width: 480px) {
  .contact {
    padding: 20px;
  }

  .form-button {
    width: 100%;
  }

  .contact-form > div {
    margin-bottom: 24px;
  }
}

.contact-form label {
  display: block;
  font-weight: bold;
  margin-bottom: 8px;
  color: #333;
}

.contact-form input[type="text"],
.contact-form input[type="email"],
.contact-form input[type="tel"],
.contact-form textarea {
  width: 100%;
  padding: 12px 8px;
  border: 1px solid #ccc;
  border-radius: 4px;
  font-size: 14px;
  transition: border-color 0.3s, box-shadow 0.3s;
}

.contact-form input:focus,
.contact-form textarea:focus {
  border-color: #007bff;
  box-shadow: 0 0 0 3px rgba(0, 123, 255, 0.2);
  outline: none;
}

.contact-form textarea {
  resize: vertical;
  min-height: 120px;
}

.form-button {
  background-color: #007bff;
  color: white;
  border: none;
  padding: 12px 24px;
  font-size: 16px;
  border-radius: 8px;
  cursor: pointer;
  transition: background-color 0.3s;
}

.form-button:hover {
  background-color: #0056b3;
}

form.confirm {
  display: inline-block;
  margin-right: 20px;
}
.confirm-forms {
  display: flex;
  flex-wrap: wrap;
  gap: 20px;
}

.contact .error-php,
.contact .error-js {
  display: block;
  color: #d9534f;
  font-size: 13px;
  margin-top: 4px;
  margin-bottom: 4px;
}

/* 表スタイル */
table.confirm-table {
  width: 100%;
  border-collapse: collapse;
  margin: 20px 0;
  font-size: 14px;
}

table.confirm-table th,
table.confirm-table td {
  padding: 12px 14px;
  border: 1px solid #ddd;
  text-align: left;
  vertical-align: top;
}

table.confirm-table th {
  background-color: #f0f0f0;
  font-weight: bold;
  width: 30%;
  color: #333;
}

table.confirm-table td {
  background-color: #fafafa;
  color: #444;
}

/* 画面幅が小さくなった場合は、縦に並べる */
@media screen and (max-width: 640px) {
  table.confirm-table td,
  table.confirm-table th {
    display: block;
    width: 100%;
  }
  table.confirm-table td {
    border-top: none;
    border-bottom: none;
  }
}

p.success {
  background-color: #e6f4ea;
  color: #2e7d32;
  padding: 10px 14px;
  border-radius: 6px;
  font-size: 14px;
}

p.fail {
  background-color: #fcebea;
  color: #c9302c;
  padding: 10px 14px;
  border-radius: 6px;
  font-size: 14px;
}