XSS対策:JavaScriptのエスケープ(その3) - ockeghem's blog

5/14の日記XSS対策:JavaScriptのエスケープ(その2) - ockeghem(徳丸浩)の日記に対して、id:hasegawayosukeさんからコメントを頂戴した。その内容は、JavaScriptに対応していないブラウザの場合に対する考慮が抜けているという趣旨だと理解した。 元の日記にも書いたように、私自身はJavaScriptの動的生成は(特殊な場合を除いて)好ましくないと考えているが、始めた以上は最後まで検討しようと思う。 解決すべき課題の整理 まず、解決すべき課題を整理しよう。元の日記では、JavaScriptを動的生成する(ただし、文字列リテラル内のデータに限る)場合のXSS対策として二段階のエスケープが必要であることを説明した。具体的には、(1)JavaScript文字列リテラルのエスケープとして、「"」、「'」、「\」のエスケープの実施、(2)HTMLとしてのエス

[drumsco]

javascript 文字列リテラルのエスケープ処理に、 ">" -> "\x3e" を追加する。

[IMAKADO]

rel->popspot ブクマコメ

[monjudoh]

『JavaScriptに対応していないブラウザの場合に対する考慮』jsとして解釈されなかった-->でSCRIPTタグ内の<!-- //-->が途中で切られてしまうことがあるんですと。