入力時に文字参照に変換するのがよろしくない理由 | 水無月ばけらのえび日記

「Twitterのクロスサイト・スクリプティング(XSS)対策は変だ (www.tokumaru.org)」。文字参照に変換した状態で DB に格納しているというのは、けっこう良くある話だろうと思います。この手のエスケープしすぎによる化けは、twitter に限らず、よく見かけますので……。 ※HTML のエスケープに限らず、入力欄に \ を入れて検索すると \\ に化けて、検索ボタンを押すたびに \ が増殖していくという面白いシステムも良くありますね。 一昔前のフリーの掲示板 CGI などでは、フォームの値を読み取るところで < → &lt; " → &quot; のように文字参照に変換してしまうのが一般的でした。この手のアプリケーションは、 絶対に HTML にしかデータを出力しないフォームからの入力以外のデータを処理しない作者が一人で開発しているので、出力時の処理も把握しているという

[asiamoth]

やはり出力時チェック、がいいようだ。

[fuktommy]

新月は入力時に変換してるけど、新月形式とHTML形式が似ているから結果的にそうなっただけだぞ。←苦しい。

[miya2000]

「絶対に HTML にしかデータを出力しない」あれ？twitterはxml,json出力もしてるよなあ。あ、結局それをHTMLにしてるからいいのか。

[vkgtaro]

コメント欄「例えばPHPを避ける」

[iwaim]

↓id:ezookojo ストレージに入っているデータはtaintだと扱えばいいだけ。ていうか、そもそもtaintやし。

[as365n2]

「サニタイズ言うな」

[TakahashiMasaki]

(要するにこれが「サニタイズいうな」の理由か?

[denken]

HTMLの実体参照は出力直前に、というのはMVCに触るといっそう理解が進むと思った

[TAKESAKO]

【これは小規模なフリー CGI だからこそ成立していた作法です】

[kits]

今なら理解できる。

[raimon49]

あらかじめ文字参照に変換した状態で DB に格納するのは、小規模なフリー CGI だからこそ成立していた作法