第9回 実践DOMスクリプティング#2：DOMとHTML | gihyo.jp

こんにちは、太田です。前回はHTMLとテキスト操作を解説しました。今回は、さらにHTMLの操作の実例を中心に解説していきます。 JavaScriptとエスケープ まず、エスケープについて確認しておきましょう。外部から入力されたデータを画面上に表示する際はクロスサイトスクリプティングに注意する必要があることはもはや常識と言ってよいと思います。サーバーサイドのウェブ開発用フレームワークでは、ほとんどの場合HTMLのエスケープ用のメソッドが用意されていて、HTMLのエスケープは適切に行えるはずです。しかし、注意しなければいけないのは、HTMLのエスケープはJavaScriptにそのまま当てはめることはできないという点です。当たり前の話ですが、HTMLとJavaScriptではエスケープすべき文字が異なります。また、IEの6、7ではCSSにJavaScriptを埋めこむことができるのでCSSにも注

[MinazukiBakera]

SGMLベースのHTMLではscript要素内はCDATAなのでこのエスケープは正しくないはず。

[mollifier]

"img要素のsrc属性に付いてはスキーマ次第でスクリプトが実行できてしまうケースがあるので，httpで始まっているかチェックしています"

[murky-satyr]

が '/' をエスケープ可能なのはこのケースを回避するため