第10回 スクリプトインジェクションが無くならない10の理由 | gihyo.jp

SQLインジェクション対策は非常に簡単です。しかしブラウザに対する「スクリプトインジェクション」はなかなか無くなりません。スクリプトインジェクションが無くならない10の理由をあげてみます。 複雑な攻撃経路と対策 前回紹介したように、ブラウザに対するスクリプトインジェクション攻撃の経路は3種類あります。エスケープ方法も数種類あります。すべての出力を完全にエスケープできればセキュリティ維持も容易になりますが、タグや属性を出力したい場合もあるため、必ずしもすべての出力をエスケープできるわけではありません。さらに攻撃手法にも、サイトをまたがった攻撃、直接攻撃、間接攻撃などパターンがあります。エスケープできないデータへの不正なスクリプトの挿入を防ぐには、データの起源までさかのぼり安全性を確保しなければなりません。ブラウザに対するスクリプトインジェクション対策はデータベースサーバへのSQLインジェクシ

[am11op]

自戒

[teruwyi]

”すべてのWeb開発者はブラウザに対する「スクリプトインジェクション」を正しく理解していなければなりません。”

[mi1kman]

理想解と現実解をごっちゃにしてるみたい/コードの流用についてはライセンス上の問題にも触れるべきかな，一応

[cubed-l]

「10の理由」というタイトルは飽きたなぁ／現状のリソースで如何にセキュアにするか。全員正しい知識を持つというのは継続目標ではあるが即応性は無いよなぁ

[se-mi]

大垣さん

[ockeghem]

『すべてのWeb開発者はブラウザに対する「スクリプトインジェクション」を正しく理解していなければなりません』<無茶言うなよ。自分自身でXSS対策の困難さを列挙していて/タイトルと本文の用語の違いも不可思議。

[TAKESAKO]

んー...→【すべてのWeb開発者はブラウザに対する「スクリプトインジェクション」を正しく理解していなければなりません。】