【PHP関連】 htmlspecialchars関数は万能で、神聖不可侵か？ - WEBプログラミング NOW!

昨日書きました「【PHPネタ】htmlspecialchars関数はサニタイズ関数？」の続きです。「セキュリティ云々という視点ではなく、正常系の処理をしているだけでも、大方のセキュリティ上の問題は自然とクリアできるはずなのに、『サニタイズ』という言葉をスローガンにして局所的に対応しようとするから、対策漏れが生じやすくなり、ミスが蔓延る」（上記要約は筆者がしましたので、間違っているかもしれません。各自、直接自分で読んで確かめてみてください。難しい文章ですが、何回か読んでいるととても趣旨一貫した文章だと感じられると思います。）という高木氏の主張（参照ページ）はよく理解できました（と思います）が、GIGOE氏の言う「『HTML出力と見たらhtmlspecialchars()をかける』、なんて思考停止な方法では、XSSやScript Insertionは完全には防げない」（参照ページ）という主張も