個人開発者をサポートするQ&Aツール

個人開発者・フリーランスエンジニア・リモートプログラマの
問題解決をサポートするサービスです

登録不要ですぐに質問を開始できます

質問するこのサイトについて

PHPを使用したウェブサイトでXSSを防ぐには

解決済ブースター: 50pt 回答数: 4件

名もなきエンジニア

主にPHPとHTMLを使ってウェブサイトを構築していますが、XSS（クロスサイトスクリプティング）を防ぐにはどうしたら良いのでしょうか？

なるべく簡潔に教えていただけると助かります。

php html

この質問にコメントする

ベストアンサーに選ばれた回答

モモ

ユーザが入力したものを表示するときには、必ずPHPのhtmlspecialchars()を常に使用することです。
使い方はこんな感じです

<?php
    echo htmlspecialchars($text, ENT_QUOTES, 'UTF-8');
?>

この回答にコメントする

この質問はすでに終了しているため変更できません

渋谷で働くエンジニアK

もしもTwigやSmartyのようなテンプレートエンジンを使ってる場合は、出力がエスケープされていることを確認してください

この回答にコメントする

この質問はすでに終了しているため変更できません

みっくん

多くのフレームワークでは様々な方法でXSSに対処する機能が備わっています。
もしも独自のフレームワークを使用する場合は、filter_input_arrayでサニタイズしてください
FILTER_SANITIZE_STRINGを使用することで、文字列をサニタイズできます

/*  XSS 対策 */
$_GET   = filter_input_array(INPUT_GET, FILTER_SANITIZE_STRING);
$_POST  = filter_input_array(INPUT_POST, FILTER_SANITIZE_STRING);

この回答にコメントする

この質問はすでに終了しているため変更できません

名もなきエンジニア

最も重要なことは、ユーザが入力したテキストを表示する前に無害化することです。
PHPにはフィルター関数があるのでこれを使ってください。

XSS攻撃は通常、Javascriptを埋め込むことで悪意のコードを実行します。
ブラウザーのアドオン機能を追加することでテストすることも可能です

この回答にコメントする

この質問はすでに終了しているため変更できません

この質問はすでに終了しているため、回答できません

配列をforeachで取り出すときにエラーになる 50pt

htaccessとindex.php(index.html)はどちらが先に読み込まれるのか 10pt

PHPでシングルクォーテーションとダブルクォーテーションの違いは何？ 50pt