テクノロジ系 / セキュリティ
クロスサイトスクリプティング対策
クロスサイトスクリプティング対策は、利用者入力をWebページに表示するときに不正スクリプトを実行させないための対策です。
もう少し詳しく
XSSは攻撃そのものですが、この用語ではその防止策を扱います。代表的な対策は、HTMLへ出力する際のエスケープ、属性値・URL・JavaScript文脈に応じた適切な処理、入力値の検証、CookieのHttpOnly属性、CSPの利用などです。SQLインジェクションがDB操作の不正化であるのに対し、XSSは利用者のブラウザ上で不正なスクリプトが動く点が違います。
試験での見方
コメント欄の <script> をそのまま表示せず、<script> のようにエスケープして、ブラウザがタグとして解釈しないようにします。
「掲示板に投稿した文字列が他人のブラウザで実行される」「出力時エスケープ」が出たらXSS対策です。SQL用のプレースホルダとは対策対象が違います。