#0205（2025/08/11）XSSの流れと応用的な対策 - Qiita

XSSの流れと応用的な対策：HTML/CSS埋め込みの実務ルール 要点：HTML/CSSを“文字列連結で作らない”。許可リスト＋文脈別エスケープ＋安全API＋CSPの多層防御で、埋め込み需要と安全性を両立する。 1. 何が難しいのか（応用編の前提） 埋め込み対象が HTML本文 / 属性 / URL / CSS / JS文字列 / SVG と複数の文脈に跨り、各文脈で必要な防御が異なる。 リッチテキスト・Markdown・WYSIWYGの普及により、「一部のタグだけ通したい」 ニーズが増加。 ブラウザは壊れたマークアップも寛容に補正するため、少しの抜けが実行に直結。 2. HTMLタグを「一部許可」する設計方針 2.1 許可リスト（allowlist）を基本に 許可タグは最小限：p, br, strong, em, ul, ol, li, code, pre, a, img など。 禁止タ