script要素内のエスケープに関する問答

徳丸 浩 @ockeghem コメントしましたが、 </script><script>alert(/1/)// でXSSになりますね PHPで呼び出した文字列内の特殊文字で、JavaScriptエラーが出る場合の対処法 | PLUS http://t.co/NyEVvgSZ9T @plus_iさんから 2013-03-04 18:42:11

[Yamashiro0217]

例えばPHPでJSの動的生成を避ける。この例だと、<input type='hidden' id='hoge' value='<?php eh($data[1]); ?>' />しといてJSでhiddenの値見るんでいいよなぁ？！

[tyage]

そこまでするくらいならscript要素内に入れない設計にしたほうがいいだんろうなあ