エスケープを無くせばOK、と勘違いして失敗した事例 XPath 1.0

(Last Updated On: 2018年8月24日)昨日のブログでは.NETにはSQLのエスケープAPIが無いので、セキュリティ対策として本末転倒な状態になっている事を紹介しました。もう一つXPath 1.0の失敗例を紹介します。 XPath 1.0の定義にはエスケープが定義されていません。参考：XPathクエリ（1） XPath 1.0のリテラル定義（3.7 Lexical Structure） Literal ::= ‘”‘ [^”]* ‘”‘ | “‘” [^’]* “‘” 文字リテラルの定義はコレだけです。つまり文字列は ‘ (シングルクオート) または ”(ダブルクォート) で囲み、それぞれ ‘ と ” が現れてはならない、としか定義されておらずエスケープ処理が定義されていません。 恐らくXPath 1.0を定義した方たちは「エスケープは悪！エスケープは無い方が良い」と考え

[kits]

"' という文字列リテラルは concat('"', "'") と表現する必要あり。/ エスケープした結果の「分かり易さ」は重要ではないように思う。(HTMLとかは結構分かり難いと思う)