ockeghem(徳丸浩)の日記 - XSS対策:どの文字をエスケープするべきなのか － コメント#1

ITproの連載中に、id:hasegawayosukeさんから以下のようなコメントをいただいていました。 対策遅らせるHTMLエンコーディングの「神話」：ITpro - 葉っぱ日記 全ての文字をエスケープしようなどと非現実的なことは言わないけれど(とはいえMicrosoft Anti-Cross Site Scripting Libraryのようにほとんど全ての文字を実体参照に置き換えるものもあるので、あながち非現実的とも言えないのかも知れない)、エスケープ対象を「'」「"」「<」「>」「&」の5文字に限定しているのは何かこの記事に書かれていない理由があるはずだと思ったからです。 はてぶの方は見ていましたが、日記の方を見落としていまして、お返事が遅れました(_ _)。 なぜ、「<」、「>」、「&」、「"」、「'」の5種類の文字をエスケープするのかについては、色々考えるところがあります。

[spodophyllum]

XSS

[kimura_m_29]

XSS対策:どの文字をエスケープするべきなのか - ockeghem(徳丸浩)の日記

[asagi29]

XSS対策:どの文字をエスケープするべきなのか - ockeghem(徳丸浩)の日記

[drumsco]

文字のエスケープ処理について、経緯やHTML仕様、IPAの資料に言及して再考している。

[kkmym]

読んどく

[otsune]

→訂正。Sanitize文脈では(black|white)listingと表現するらしい/コメント欄のブラックリストとホワイトリストの用法が妙だ。この文脈だと「一旦全拒否しておいて、特定の命令は許可する」がwhitelistだよね