PHPでクロスサイトスクリプティング(XSS)対策をちょっとだけ楽にする | ––help – エンジニアのメモ

$_GETや$_POSTをHTMLとして出力するときには必ずエスケープの処理が必要だけど出力する箇所すべてに書くのは面倒だしコード量も多くなるし漏れが出そうだし・・ かといって$_GETを丸ごとエスケープ！なんてことをすると二重エスケープしてしまったり、ロジックでエスケープ前のデータがほしいときにアンエスケープしないといけなくなったりしますね。 ここで紹介する方法は$_GETのような配列をクラスでラップする方法です。 こんな感じで使います。 <?php $in = new InputWrapper($_GET); echo $in->hello; // $_GET['hello']が入力にあればエスケープ済みの文字列が出力されます。 if (isset($in->world)) { // issetも使えます echo $in->world; } else { echo '世界がありま

[bleu-bleut]

XSS