security - HTML 出力をエスケープするための最小要件

Question

出力前にユーザー生成コンテンツをエスケープする際に必要で十分な文字は何ですか? (言い換えれば、以前に信頼されていない匿名のソースから来たテキストを出力するときに、Web 開発者がエスケープすべき文字は何ですか?)

Answer 1

ページにエコーするときは、エンコードする必要があります

• '&' (アンパサンド) は ' &'になります。
• '"' (二重引用符) は ' "'になります
• ''' (一重引用符) は ' ''になります
• '<' (より小さい) は ' <'になります
• '>' (より大きい) は ' >'になります

PHPのhtmlspecialchars() ドキュメントから。

コンテキストも重要であることに注意してください。

文字セットも考慮する必要があります。

Answer 2

< > & " 'どのシナリオでも、シンボルをエスケープするだけで十分だと思います。