TwitterのXSS対策は変だ: Twitterのクロスサイト・スクリプティング(XSS)対策は変だ - 徳丸浩の日記(2007-08-29)

_ Twitterのクロスサイト・スクリプティング(XSS)対策は変だ Twitterが流行している。私もヘビーユーザとは言えないものの、結構愛用している(http://twitter.com/ockeghem)。このTwitterのXSS対策が変だなと思う事象があったので報告する。 あらかじめお断りしておくが、TwitterにXSS脆弱性がある(実際にはあったようだが)という報告ではなく、対策の方法がおかしいという報告である。 まずは、どうも変だと思うようになった事例を紹介する。 事例1 モバイル版の二重エスケイプ 私は主に、通勤などの移動中に、W-Zero3で閲覧・書き込みしている。モバイル版(http://m.twitter.com/)を主に利用しているが、「<」などの記号が二重にエスケープされていることに気がついた。 twitter.comでの表示 m.twitter.comでの表

[miya2000]

「そもそも、出力時でなければ「エスケープ」と呼ぶことさえ間違いでは。」

[mattn]

殆ど知ってたけど､まとめて見ると多さに驚く

[NOV1975]

出力直前にエスケープした後、出力文字数分でカットしている可能性は…ないか。

[rna]

「この方法のメリットはあるだろうか?」負荷軽減では? 巨大なチャットみたいなものだから入力一回につき表示は何千何万回に。/はてなダイアリーもHTMLに変換済みのデータを(も)DBに入れてなかったっけ。/2chのdatも。

[poolmmjp]

ほんとだー。やっぱエスケープをセキュリティ的な対策だと思ってちゃダメよね。

[ockeghem]

できましたらブクマは http://www.tokumaru.org/d/20070829.html#p01 にお願いします(_ _)