【スクリプトインジェクション対策05】文字エンコーディングは必ずHTTPヘッダで指定する | gihyo.jp

クロスサイトスクリプティングの危険性を解説した「CERT Advisory CA-2000-02 Malicious HTML Tags Embedded in Client Web Requests」（⁠2000年2月）には、クロスサイトスクリプティングを防止する対策として文字エンコーディングを明示的に指定すべきある、と明確に記載されています。 In addition, web pages should explicitly set a character set to an appropriate value in all dynamically generated pages. 加えて、動的に生成されたすべてのWebページは適切な文字コードセットを明示的に設定されなければならない としています。 <meta>タグを利用すると <meta http-equiv="content-typ

[teppeis]

php.iniでdefault_charsetを設定すると自動的にContent-Typeヘッダにcharsetが付加される。