XSSの脆弱性を限りなくなくす方法

XSSの脆弱性を限りなくなくす方法 XSSがはやっているので便乗しておきます。 私がよく使う方法なんですが、この方法を利用するとXSSの脆弱性を限りなくなくすことが出来ます。 対応方法は、PHPファイルの最初に以下のコードを挿入するだけ。 foreach($_GET as $key => $value){ $_GET[$key] = htmlspecialchars(htmlspecialchars_decode($value,ENT_QUOTES),ENT_QUOTES); } foreach($_POST as $key => $value){ $_POST[$key] = htmlspecialchars(htmlspecialchars_decode($value,ENT_QUOTES),ENT_QUOTES); } これで自動的にエスケープの処理を行ってくれます。 通常のXSS対

[studio-m]

多分、HTMLの中に <?php echo $_GET['hoge'] ?> とか書く世界での話。「出力時にエスケープ」と言っても、どこで出力されるか分からないから最初にやっちゃえってことだと思われる。

[takeshiketa]

いやいや、これは無いわー。コレで破綻しないって普段どんだけ小さい規模のコード書いてるのかと

[llill]

「サニタイズ言うな」

[Knoa]

だったらmagic_quotesもonにすればいいじゃない

[kits]

入力文字列を「エスケープされたもの」と意識し続けてプログラム内で扱っていくのはとてもややこしいことだと思う。(←入力時エスケープがよくないことの自分なりの理解) / 「実態参照」×→実体 (→修正済)

[nshash]

入力時のエスケープ（ホワイトリスト）がなぜ良くないのかいまいちわからない。ここあたり?（http://bakera.jp/ebi/topic/2986）/ こっちでまとめた→http://note.openvista.jp/2008/php-security-memo/

[leva]

入力時のエスケープ（ホワイトリスト）がなぜ良くないのかいまいちわからない。ここあたり?（http://bakera.jp/ebi/topic/2986）/ こっちでまとめた→http://note.openvista.jp/2008/php-security-memo/

[lestrrat]

phpじゃない言語を使ってみるのはどうか。